Esialgne tõlge
KOHTUJURISTI ETTEPANEK
RIMVYDAS NORKUS
esitatud 16. aprillil 2026(1)
Kohtuasi C‑205/25
Joachim Lindenberg
versus
Bayerisches Landesamt für Datenschutzaufsicht
(eelotsusetaotlus, mille on esitanud Bayerisches Verwaltungsgericht Ansbach (Baieri liidumaa Ansbachi halduskohus, Saksamaa))
Eelotsusetaotlus – Füüsiliste isikute kaitse isikuandmete töötlemisel – Määrus (EL) 2016/679 – Artikkel 15 – Andmesubjekti taotlus tutvuda oma isikuandmetega – Artikkel 77 – Andmed kaebemenetluses sekkuva järelevalveasutuse toimikus – Artikli 4 punkt 7 – Mõiste „vastutav töötleja“ – Artikkel 23 – Andmetega tutvumise õiguse piiramine – Riigisisesed õigusnormid, mis välistavad toimikuga tutvumise õiguse täielikult
I.      Sissejuhatus
1.        Käesoleva eelotsusetaotlusega, mille Bayerisches Verwaltungsgericht Ansbach (Baieri liidumaa Ansbachi halduskohus) on esitanud ELTL artikli 267 alusel, palutakse tõlgendada Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruse
(EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus)(2) (edaspidi „IKÜM“) artikli 4 punkte 7 ja 21 ning artikleid 15, 23 ja 77.
2.        See eelotsusetaotlus on esitatud andmekaitsele spetsialiseerunud ajakirjaniku Joachim Lindenbergi ja Bayerisches Landesamt für Datenschutzaufsichti (Baieri andmekaitse järelevalveasutus, Saksamaa) (edaspidi „Landesamt“) vahelises kohtuvaidluses, mis puudutab selle asutuse keeldumist võimaldada tal IKÜMi artikli 15 alusel tutvuda kogu oma toimikuga menetluses, mis algatati pärast seda, kui see ajakirjanik oli esitanud kolmanda isiku vastu kaebuse. Landesamt põhjendas seda keeldumist Baieri õigusnormiga, mis välistab üldsuse õiguse järelevalveasutuste toimikutega tutvuda. Kui J. Lindenberg oli kohtusse pöördunud, andis ametiasutus lõpuks loa toimikuga elektrooniliselt tutvuda, tunnistamata siiski õigusnormi rikkumist, samas kui kaebaja palub endiselt tuvastada, et esialgne keeldumine oli õigusvastane. Kuna eelotsusetaotluse esitanud kohtu hinnangul eeldab vaidluse lahendamine IKÜMi asjakohaste sätete tõlgendamist ning selle analüüsimist, kas Baieri õigusnormid on liidu õigusega kooskõlas, otsustas ta menetluse peatada ja esitada Euroopa Kohtule kaks eelotsuse küsimust.
3.        Euroopa Kohtul tuleb vastata küsimusele, kas andmekaitse järelevalveasutuse saab siis, kui ta tegutseb IKÜMi artikli 77 alusel algatatud kaebemenetluses, kvalifitseerida IKÜMi artikli 4 punkti 7 tähenduses vastutavaks töötlejaks ning millises ulatuses peab see asutus täitma IKÜMi artiklis 15 ette nähtud teavitamiskohustusi. Samuti tuleb tal analüüsida, kas riigisisesed õigusnormid, mis välistavad täielikult andmesubjektide õiguse toimikuga tutvuda, on liidu õigusega vastuolus. Selle hindamisel on vaja lähtuda IKÜMi artiklist 23, mille kohaselt on teatavates üldistes huvides lubatud selles määruses ette nähtud teavitamiskohustusi piirata, ning Euroopa Liidu põhiõiguste harta (edaspidi „harta“) artikli 8 lõikest 2, mis tagab igaühele õiguse tutvuda tema kohta kogutud andmetega. Seoses sellega peab Euroopa Kohus leidma tasakaalu, kus ühel vaekausil on haldustoimingute läbipaistvuse nõue ja teisel pool vajadus tagada andmekaitsealaste uurimiste tõhusus.
II.      Õiguslik raamistik
A.      Liidu õigus
4.        Käesolevas kohtuasjas on asjakohased harta artiklid 8 ja 52, ELTL artikkel 16 ning IKÜMi artikli 4 punktid 1, 2, 7 ja 9 ning artiklid 5, 15, 23, 51, 57, 58 ja 77.
B.      Saksa õigus
5.        Baieri liidumaa andmekaitseseaduse (Bayerisches Datenschutzgesetz, edaspidi „BayDSG“) artikli 18 kohaselt on Landesamt järelevalveasutus muude kui avaliku sektori asutuste suhtes.
6.        BayDSG artiklis 20 on sätestatud:
„(1) Igaüks võib esitada järelevalveasutusele kaebuse väitega, et tema isikuandmete töötlemisel on rikutud tema õigusi. Järelevalveasutusele kaebuse esitamine ei või seada andmesubjekti ebasoodsamasse olukorda.
(2)      Järelevalveasutuse toimikute ja andmekogumite kohta teabe saamise või nende andmetega tutvumise õigus puudub.“
7.        BayDSG seletuskirjas on artikli 20 lõike 2 kohta öeldud, et see säte on kohaldatav alati siis, kui IKÜMi artiklist 15 tulenevale teabe saamise õigusele tuginetakse Landesamti vastu seoses selle asutuse toimikute ja andmekogumitega, ning sellisel juhul välistab see säte teabe saamise õiguse täielikult.
III.      Põhikohtuasja asjaolud, menetlus põhikohtuasjas ja eelotsuse küsimused
8.        J. Lindenberg on ajakirjanik, kes peab blogi, milles muu hulgas käsitletakse isikuandmete kaitset. Alates 2021. aastast on ta esitanud Landesamtile menetluse algatamiseks mitu kaebust.
9.        Kui J. Lindenberg esitas 13. mail 2022 Landesamtile isikuandmete töötlemise kohta kaebuse, algatas see asutus kolmanda isiku suhtes järelevalvemenetluse. 11. oktoobri 2022. aasta e-kirjaga andis Landesamt J. Lindenbergile teada, et on tuvastanud, et kaebuses viidatud isik on andmekaitsenorme rikkunud. Ta lisas, et pärast nende rikkumiste kõrvaldamiseks seatud tähtaja möödumist määratakse kaebuses viidatud isikule uute rikkumiste toimepanemise korral hoiatustrahv. Samal päeval saadetud e-kirjas palus J. Lindenberg teha talle teatavaks ülejäänud üksikasjad Landesamti võetud meetmete kohta. Kuna Landesamt seda palvet ei täitnud, esitas J. Lindenberg 11. oktoobril 2022 saadetud e-kirjas IKÜMi artikli 15 lõigete 1 ja 3 alusel täieliku teabe taotluse.
10.      Landesamt jättis 20. oktoobri 2022. aasta e-kirjaga ning sama kuupäeva otsusega IKÜMi artikli 15 lõigete 1 ja 3 alusel esitatud teabetaotluse rahuldamata. Ta põhjendas rahuldamata jätmist sellega, et BayDSG artikli 20 lõikes 2 on sõnaselgelt sätestatud, et järelevalveasutuste toimikute ja andmekogumite kohta teabe saamise või nende andmetega tutvumise õigus puudub.
11.      Selle otsuse peale esitas J. Lindenberg Bayerisches Verwaltungsgericht Ansbachile (Baieri liidumaa Ansbachi halduskohus) kaebuse, paludes kohustada Landesamti andma talle kõigi 13. mail 2022 algatatud kaebemenetluse toimiku andmete koopia.
12.      Landesamt andis 23. veebruaril 2024 J. Lindenbergile võimaluse tema kaebuse alusel algatatud järelevalvemenetluse toimikuga elektrooniliselt tutvuda, kuid ei tunnistanud siiski, et oleks selleks seaduse kohaselt kohustatud.
13.      Sellest alates palub J. Lindenberg üksnes tuvastada, et Landesamti 20. oktoobri 2022. aasta otsus jätta tema teabetaotlus rahuldamata on õigusvastane.
14.      Eelotsusetaotluse esitanud kohus märgib, et kui selline kaebaja nagu J. Lindenberg esitab menetluse algatamiseks IKÜMi artikli 77 alusel kaebuse sellisele andmekaitse järelevalveasutusele, nagu seda on Landesamt, siis on see asutus tema suhtes IKÜMi artikli 4 punkti 21 tähenduses järelevalveasutus. Osa – sealhulgas Landesamt – on seisukohal, et see välistab võimaluse, et andmekaitse järelevalveasutus on kaebuse esitaja suhtes vastutav töötleja IKÜMi artikli 15 tähenduses koostoimes IKÜMi artikli 4 punktiga 7, ning sellest tulenevalt on algusest peale välistatud ka kaebuse esitaja õigus saada järelevalveasutuselt teavet kaebemenetlusega seotud isikuandmete kohta.
15.      Eelotsusetaotluse esitanud kohus lähtub seevastu põhimõttest, et andmekaitse järelevalveasutus võib ühekorraga olla nii järelevalveasutus IKÜMi artikli 4 punkti 21 tähenduses kui ka vastutav töötleja ja kaebuses viidatud isik IKÜMi artikli 15 tähenduses koostoimes IKÜMi artikli 4 punktiga 7.
16.      Eelotsusetaotluse esitanud kohus leiab, et isegi kui see nii on, tekib küsimus, kas see, kui järelevalveasutuse toimiku ja andmekogumitega tutvumise õigus on lihtsalt välistatud nagu BayDSG artikli 20 lõikes 2, vastab neile tingimustele, mis peavad IKÜMi artikli 23 lõike 1 alusel piirangute kehtestamiseks täidetud olema.
17.      Neil asjaoludel otsustas Bayerisches Verwaltungsgericht Ansbach (Baieri liidumaa Ansbachi halduskohus) menetluse peatada ja esitada Euroopa Kohtule järgmised eelotsuse küsimused:
„1.      Kas [IKÜMi] artiklit 15 koostoimes [selle määruse] artikli 4 punktiga 7 tuleb tõlgendada nii, et [IKÜMi] artikli 4 punktis 21 osutatud järelevalveasutus, kes menetleb kaebust, mille on andmesubjekt esitanud [selle määruse] artikli 77 alusel, on samal ajal vastutav töötleja [IKÜMi] artikli 15 tähenduses koostoimes [sama määruse] artikli 4 punktiga 7 ja seega on ta [IKÜMi] artikli 15 alusel kohustatud andma andmesubjektile teavet?
2.      Juhul kui esimesele küsimusele vastatakse jaatavalt, kas liidu õigust, eelkõige [IKÜMi] artiklit 23, tuleb tõlgendada nii, et sellega on vastuolus selline riigisisene õigusnorm nagu [BayDSG] artikli 20 lõige 2, mis välistab üldiselt teabe saamise või andmetega tutvumise õiguse seoses [IKÜMi] artikli 4 punktis 21 määratletud järelevalveasutuste toimikute ja andmete kogumitega?“
IV.      Menetlus Euroopa Kohtus
18.      Eelotsusetaotlus, mis tehti 19. veebruaril 2025, saabus Euroopa Kohtu kantseleisse 17. märtsil 2025.
19.      Landesamt, Bulgaaria valitsus, Läti valitsus ning Euroopa Komisjon esitasid Euroopa Liidu Kohtu põhikirja artiklis 23 ette nähtud tähtaja jooksul kirjalikud seisukohad.
20.      22. jaanuari 2026. aasta kohtuistungil esitasid oma seisukohad B. Lindenbergi, Landesamti, Bulgaaria valitsuse ja komisjoni esindajad ad litem.
V.      Õiguslik analüüs
A.      Sissejuhatavad märkused
21.      Käesolevas kohtuasjas on tõstatatud põhimõtteline küsimus järelevalveasutuste õigusliku seisundi kohta IKÜMiga tunnustatud õiguste aspektist, täpsemalt mis puutub IKÜMi artikliga 15 tagatud õigusse andmetega tutvuda. Vaja on kindlaks teha, kas järelevalveasutuse, kes vaatab parajasti läbi IKÜMi artikli 77 alusel esitatud kaebust, saab kvalifitseerida selle käigus töödeldavate andmete vastutavaks töötlejaks selle määruse artikli 4 punkti 7 tähenduses. See kvalifitseerimine on määrava tähtsusega, kuna sellest sõltub, kas on võimalik kohaldada neid teabe andmise kohustusi, millele saab tugineda vastutava töötleja vastu, ning laiem küsimus on õige tasakaalu leidmine, kui ühel pool on üksikisikute õiguste kaitse ja teisel pool järelevalveülesannete täitmise erijooned, mis seisnevad otsuste sõltumatuses, uurimise konfidentsiaalsuses ja uurimisvolituste kasutamise tõhususes.
22.      Kui Euroopa Kohus peaks leidma, et põhimõtteliselt võib järelevalveasutus olla kohustatud IKÜMi artiklit 15 järgima, tekib teine küsimus, mis puudutab õigustikku, nimelt kas haldustoimikutega tutvumise õiguse üldine ja täielik välistamine on liidu õigusraamistikuga kooskõlas. Selliseid riigisiseseid õigusnorme analüüsides tuleb arvestada nõudeid, mis on ette nähtud IKÜMi artiklis 23, milles on
selle määrusega tagatud õigustele piiramisele kehtestatud kitsad raamid, lubades neid õigusi piirata ainult juhul, kui on täidetud kumulatiivsed tingimused, mis seisnevad õiguslikus aluses, vajalikkuses, proportsionaalsuses ja liidu tunnustatud üldist huvi teenivate eesmärkide kaitses. See analüüs peab hõlmama ka esmasest õigusest tulenevaid tagatisi, eriti neid, mis on seotud põhiõiguste austamise ja õiguskaitsevahendite tõhususega.
23.      Niisiis tuleb õiguslikku analüüsi teha kahes järjestikuses etapis. Esimeses tuleb kindlaks teha, kas ja mil määral võib järelevalveasutust kaebemenetluses vastutavaks töötlejaks pidada, mis tähendaks, et ta on kohustatud täitma IKÜMis ette nähtud teavitamiskohustusi.(3) Teises etapis ning ainult jaatava vastuse korral tuleb kaaluda küsimust, kas järelevalveasutuste toimikuga tutvumise õiguse üldist, diferentseerimata ja ennetavat välistamist saab ühitada IKÜMis ühtlustatud õigusraamistikuga, pidades silmas selliseid nõudeid nagu halduslik läbipaistvus, andmekaitse, institutsiooniline sõltumatus ja järelevalvemehhanismide tõhusus, mille vahel tuleb leida tasakaal, ilma et ükski neist nõuetest muutuks sisutühjaks.(4)
B.      Esimene küsimus
1.      Järelevalveasutuse kvalifitseeritavus vastutavaks töötlejaks IKÜMi artikli 4 punkti 7 tähenduses
24.      Seoses sellega, kas järelevalveasutust võib olla võimalik kvalifitseerida vastutavaks töötlejaks, mille kohta on esitatud esimene eelotsuse küsimus, tuleb kõigepealt meenutada selle mõiste legaaldefinitsiooni, mis on antud IKÜMi artikli 4 punktis 7. Selle sätte kohaselt on vastutav töötleja „füüsiline või juriidiline isik, avaliku sektori asutus, amet või muu organ, kes üksi või koos teistega määrab kindlaks isikuandmete töötlemise eesmärgid ja vahendid“. Selle kohta tuleb märkida, et Euroopa Kohtu väljakujunenud praktika kohaselt tuleb kõnealust mõistet tõlgendada laialt.(5)
25.      Esiteks tuleb nentida, et selles legaaldefinitsioonis on sõnaselgelt kasutatud väljendit „avaliku sektori asutus“. Seega ei välista IKÜMi artikli 4 punkti 7 sõnastus ise kuidagi võimalust kvalifitseerida järelevalveasutus vastutavaks töötlejaks. Liidu seadusandja on sihilikult hoidunud vahetegemisest eraõiguslike ja avalik-õiguslike üksuste vahel, nagu on näha mitmest põhjendusest, kus kõneldakse otsesõnu isikuandmete töötlemisest avaliku sektori asutustes. Ka seda asjaolu, et järelevalveasutus on IKÜMi artikli 4 punktis 21 määratletud kui liikmesriigis artikli 51 kohaselt asutatud sõltumatu avaliku sektori asutus, ei saa tõlgendada nii, nagu see takistaks järelevalveasutuse kvalifitseerimist vastutavaks töötlejaks, kui arvestada, milline lai ja funktsionaalne ulatus on vastutava töötleja mõistele selle määrusega antud.(6)
26.      Teiseks tuleb märkida, et kui selline järelevalveasutus täidab talle IKÜMi artikliga 77 antud ülesandeid – mille hulka kuulub nende kaebuste läbivaatamine, mida esitatakse, kui andmekaitsenorme peaks rikutama –, tuleb tal endal isikuandmeid töödelda. See asutus ei piirdu andmete vastuvõtmisega; ta struktureerib, analüüsib, säilitab ja kasutab neid talle määrusega antud uurimis- ja karistamisvolituste sõltumatul teostamisel. Sellised toimingud kuuluvad minu hinnangul IKÜMi artikli 4 punkti 2 kohaldamisalasse, milles on mõistet „isikuandmete töötlemine“ käsitatud laias tähenduses ning konkreetsest kontekstist sõltumatult nii, et see hõlmab kõiki andmetega tehtavaid toiminguid.
27.      Selle analüüsi kinnituseks kirjeldan järgnevas arutluskäigus kõigepealt IKÜMi artiklis 77 ette nähtud kaebemenetluse põhijooni ja seejärel isikuandmete liike, mida järelevalveasutustel tuleb selles kontekstis nõuetekohaselt ja konkreetselt töödelda. Selline kirjeldus aitab paremini mõista, mis laadi ja millise ulatusega on ülesanded, mida järelevalveasutused sellises uurimismenetluses täidavad.
a)      IKÜMi artiklis 77 ette nähtud kaebemenetluse põhijooned
28.      Liidu süsteemis, mille eesmärk on tagada füüsiliste isikute kaitse nende isikuandmete töötlemisel, on IKÜMi artiklis 77 ette nähtud kaebemenetlus(7) keskne mehhanism. See aitab praktikas ellu rakendada harta artikli 8 lõikes 3 sätestatud põhimõtet, mille kohaselt peab andmekaitsenormide täitmist kontrollima sõltumatu asutus. Euroopa Kohus on korduvalt rõhutanud, et see kontrollimehhanism ei ole puhtformaalne, vaid selle eesmärk on tagada põhiõiguste tõhus ja tegelik kaitse.(8)
29.      IKÜMi artikli 77 lõige 1 annab igale andmesubjektile ilma eriliste vorminõueteta või kulude ohuta õiguse esitada kaebus järelevalveasutusele, eelkõige selles liikmesriigis, kus on tema alaline elukoht, töökoht või väidetava rikkumise toimumiskoht. Kuna see õigus on selle määrusega kehtestatud kaitsesüsteemi oluline osa, ei tohi seda tõlgendada ega kohaldada nii, et õiguse kasutamine muutuks praktiliselt võimatuks või ülemäära keeruliseks.(9)
30.      Tasub rõhutada, et kaebuse esitamine ei anna järelevalveasutusele mitte lihtsalt üldist õigust see läbi vaadata, vaid paneb talle konkreetse kohustuse toimikut tervenisti, hoolikalt ja erapooletult uurida. Nimelt nähtub Euroopa Kohtu praktikast, et IKÜMi artikli 57 lõike 1 punkti f kohaselt on iga järelevalveasutus kohustatud menetlema tema territooriumil esitatud kaebusi, uurima asjakohasel määral nende laadi ja need nõutava hoolsusega läbi vaatama.(10)
31.      Sellest tulenevalt ei saa järelevalveasutus jätta kaebust läbi vaatamata üksnes halduskoormuse vähendamiseks või otstarbekuse huvides. Samuti on tal keelatud piirduda oma sekkumises mitteametliku vahendaja või lihtsalt abistaja rolliga. Vastupidi, ta on kohustatud väidetavat rikkumist faktilisest ja õiguslikust aspektist uurima ning vajaduse korral talle liidu õigusega antud parandusvolitusi tegelikult kasutama.(11)
32.      IKÜMi artiklis 58 loetletud volitusi tuleb kohtupraktika kohaselt tõlgendada lähtuvalt nende eesmärgist, mis on määruse täieliku toime tagamine. Euroopa Kohus on rõhutanud järelevalveasutuste kohustust võtta tuvastatud rikkumiste korral asjakohaseid ja vajalikke parandusmeetmeid ning kasutada kõiki oma käsutuses olevaid vahendeid. See nõue hõlmab õiguskaitset, kuna tegevusetus võib nimetatud määruse soovitava toime ohtu seada.(12)
33.      Lisaks on IKÜMi artikli 77 lõikes 2 kehtestatud kohustus teavitada kaebuse esitajat menetluse käigust ja tulemusest. See kohustus on täidetud üksnes juhul, kui antud vastusest saab järeldada, et kaebus on tõepoolest faktilisest ja õiguslikust aspektist läbi vaadatud, ning see sisaldab tõhusa kohtuliku kontrolli teostamiseks vajalikku teavet. Niisiis ei saa menetlus piirduda puhtformaalse otsusega, vaid peab päädima üksikasjaliku, nõuetekohaselt põhjendatud hinnanguga, mida kohus, kellele on IKÜMi artikli 78 lõike 1 alusel kaebus esitatud, saab kontrollida. Otsused, mille järelevalveasutus on kaebuste kohta teinud, kuuluvad nimelt täies ulatuses kohtuliku kontrolli alla.(13)
34.      Kui vaadelda IKÜMi artiklis 77 ette nähtud menetlust tervikuna, ei ole see pelgalt haldusakt, vaid liidu õigusega kehtestatud iseseisev õiguskaitsevahend, mis aitab ühtaegu kaasa nii üksikisikute õiguste kaitsele kui ka õiguskorra objektiivsele kaitsmisele andmekaitse valdkonnas. Euroopa Kohus tunnustab järelevalveasutusi kui põhiõiguste struktuurse kaitsesüsteemi institutsioonilisi tagajaid, kelle ülesanne ei piirdu kaebuste passiivse vastuvõtmisega, vaid eeldab andmekaitsenormide aktiivset kohaldamist.
b)      Isikuandmete töötlemine, millega järelevalveasutus kaebemenetluses tegeleb
35.      Olles kirjeldanud kaebemenetluse põhijooni, on aeg analüüsida, mil määral kuulub järelevalveasutuse tegevus IKÜMi artikli 4 punkti 2 tähenduses mõiste „töötlemine“ alla. See mõiste on määratletud kui „isikuandmete või nende kogumitega tehtav automatiseeritud või automatiseerimata toiming või toimingute kogum, nagu kogumine, dokumenteerimine, korrastamine, struktureerimine, säilitamine, kohandamine ja muutmine, päringute tegemine, lugemine, kasutamine, edastamise, levitamise või muul moel kättesaadavaks tegemise teel avalikustamine, ühitamine või ühendamine, piiramine, kustutamine või hävitamine“.
36.      Sellega seoses tuleb rõhutada, et IKÜMi artiklil 77 põhinevas menetluses ei piirdu järelevalveasutus andmete vastuvõtmisega. Vastupidi, ta sooritab oma seadusjärgse hindamis-, uurimis- ja kontrolliülesande täitmiseks hulga eraldiseisvaid ja struktureeritud toiminguid. Nimelt algab menetlemine siis, kui esitatakse kaebus, mis sisaldab andmeid kaebuse esitaja ja võib olenevalt juhtumist sisaldada neid ka asjaomase vastutava töötleja või tuvastatavate kolmandate isikute kohta. See teave – mis kuulub IKÜMi artikli 4 punkti 1 tähenduses isikuandmete mõiste alla – dokumenteeritakse, kantakse toimikusse ja säilitatakse järelevalveasutuse sisestes süsteemides, mis eeldab juba ise sisulisi ja korralduslikke toiminguid, mis kujutavad endast töötlemist.(14)
37.      Need toimingud kuuluvad IKÜMi artikli 57 lõikega 1 järelevalveasutustele antud ülesannete alla, mida on kirjeldatud käesolevas ettepanekus. Nende ülesannete hulka kuuluvad muu hulgas kaebuste käsitlemine (punkt f) ning uurimis- ja otsustusvolituste teostamine (punkt h). Neid ülesandeid täites on neil asutustel liidu õigusega tagatud funktsionaalne sõltumatus ning sõltumatus otsuste tegemisel, mis väljendub konkreetselt selles, kuidas kaebusi uuritakse ja sellest tulenevaid kontrollivolitusi teostatakse.
38.      Menetluse käigus hindab järelevalveasutus talle esitatud asjaolusid faktiliselt ja õiguslikult. Ta kogub, korraldab, analüüsib ja hindab andmeid vastavalt kohaldatavale õigusraamistikule. Kui ta küsib lisateavet vastutavalt töötlejalt, kelle vastu kaebus on esitatud ja kes on uurimise all, või kui ta tutvub täiendavate dokumentidega, milles võib endas isikuandmeid olla, tuleb tal teha ka muid töötlemistoiminguid. Seejärel võtab järelevalveasutus selle teabe vastu, dokumenteerib selle, analüüsib ja säilitab seda. Ka nende andmete seostamist varasemate toimikute või andmetega, kui neid peaks leiduma, võib töötlemiseks pidada.
39.      Niiviisi töödeldud andmeid kasutatakse, et järelevalveasutus saaks oma uurimis- ja otsustamisvolitusi sõltumatult teostada.(15) Neid andmeid on vaja asjaolude tuvastamiseks, nende õiguslikuks kvalifitseerimiseks, võimalike parandusmeetmete kaalumiseks ja vajaduse korral siduvate otsuste või ettekirjutuste tegemiseks. Samuti kasutatakse neid pooltele suunatud menetlusteadetes, sealhulgas kaebuse esitajat või vastutavat töötlejat menetluse tulemusest teavitades.
40.      Kõigist neist asjaoludest järeldub, et järelevalveasutust ei saa pidada pelgalt andmete vastuvõtjaks IKÜMi artikli 4 punkti 9 tähenduses. Kui ta otsustab iseseisvalt nende andmete kogumis-, analüüsimis-, korraldamis- ja kasutustingimuste üle, et oma seadusjärgseid ülesandeid täita, tegeleb ta isikuandmete töötlemisega IKÜMi artikli 4 punkti 2 tähenduses. Seda aspekti tuleb järgmises osas põhjalikumalt käsitleda.
2.      Järelevalveasutuse õigus määrata kindlaks isikuandmete töötlemise eesmärgid ja vahendid
41.      Selleks et järelevalveasutuse saaks kvalifitseerida IKÜMi artikli 4 punkti 7 tähenduses vastutavaks töötlejaks, peab talle olema antud pädevus määrata kindlaks isikuandmete töötlemise eesmärgid ja vahendid.
42.      Nagu eespool märgitud, ei piirdu järelevalveasutuse roll IKÜMi artikli 77 kohases kaebemenetluses pelgalt andmete passiivse vastuvõtmisega. Tegelikult määrab ta kindlaks töötlemise eesmärgi, kuna tema otsustab, kas andmeid kasutatakse andmekaitsenormide rikkumise korral selle uurimiseks, faktiliste asjaolude tuvastamiseks ning vajaduse korral järelevalvemeetmete ettevalmistamiseks ja võtmiseks. Seda eesmärki ei määra ta mitte ainult seadusega eelnevalt piiritletud ulatuses, vaid järelevalveasutus peab seda ka iga juhtumi puhul sõltumatult konkretiseerima, sealhulgas kontrolli ulatuse, uurimise täpse eseme ning esitatud etteheidete õigusliku kvalifitseerimise üle otsustades(16).
43.      Järelevalveasutus otsustab põhiosas iseseisvalt ka töötlemise vahendite üle Ta määrab kindlaks, milliseid isikuandmeid kogutakse, mis kujul need dokumenteeritakse, struktureeritakse ja säilitatakse, milliste kriteeriumide alusel koostatakse toimikuid, korraldatakse digitaalseid arhiive või registreeritakse tõendeid ning milliste tehniliste või korralduslike menetlustega andmeid analüüsitakse, edasi töödeldakse või need asutusesiseselt kättesaadavaks tehakse. Samuti otsustab ta, kas esitada kaebuses viidatud isikule teabenõudeid, millist lisateavet tuleb küsida, milliste meetodite abil teavet seostatakse ja kui kaua seda hoitakse. See valiku- ja korralduspädevus ületab ilmselgelt pelga abi- või allülesande täitmise piirid.
44.      Tema sõltumatust otsuste tegemisel kinnitavad ka tegelikud töötlemistoimingud. Asutus registreerib kaebuse, avab oma toimikud, säilitab ja korraldab saadud ja kogutud andmeid, annab neile faktilise ja õigusliku hinnangu, nõuab lisadokumente, registreerib uurimistoimingud ning võtab oma analüüsi põhjal vastu menetluslikke ja sisulisi otsuseid. Seega ei töötle ta andmeid mitte üksnes haldustoimiku tehniliseks haldamiseks, vaid sellel töötlemisel põhineb iseseisev uurimis-, hindamis- ja otsustustegevus, mis on liidu õigusega usaldatud üksnes järelevalveasutusele.
45.      Asjaolu, et see tegevus on seotud seadusjärgse ülesande täitmisega, ei tähenda, et ta ei oleks vastutav töötleja. Euroopa Kohus on korduvalt meenutanud, et avaliku sektori asutust võib pidada vastutavaks töötlejaks, kui tal on töötlemise konkreetsete tingimuste suhtes otsustusruumi.(17) Selle kohta tuleb märkida, et Landesamt tunnistas kohtuistungil ise, et tal on oma ülesannete kindlaksmääramiseks kaalutlusruum, sealhulgas kaebuste menetlemise raames,(18) ning selles kaalutlusruumis avaldub tema sõltumatus.
46.      Kuna ta ei allu eesmärkide ja vahendite kindlaksmääramisel kellelegi, tuleb kõrvale heita ka volitatud töötlejaks kvalifitseerimise võimalus, sest see asutus ei sekku mitte kolmanda isiku juhiste alusel, vaid talle endale usaldatud võimu teostamisel. Täpsemalt ei tegutse järelevalveasutus üldse selle vastutava töötleja nimel, kelle vastu kaebus on esitatud, vaid teostab avalikku võimu, mis on talle antud, et tagada liidu õiguse järgimine.
47.      Kuigi kõnealune töötlemine põhineb üldjuhul IKÜMi artikli 6 lõike 1 punktil e koostoimes selle määruse artikli 57 lõike 1 punktidega f ja h, tagab õigusliku aluse olemasolu üksnes selle, et töötlemine on seaduslik, ega välista võimalust, et tegemist on vastutava töötlejaga. See asjaolu, et asutusele on seadusega usaldatud järelevalveülesannete täitmine, hoopis kinnitab, et ta töötleb andmeid oma seadusjärgsete kohustuste täitmise käigus ning viisil, mille ta ise kindlaks määrab. Vastutava töötlejana tuleb tal seega põhimõtteliselt ikka järgida IKÜMis ette nähtud üldisi kohustusi, eriti põhimõtteid, mis on ette nähtud artiklis 5, ning isikute õigusi, mis on loetletud selle määruse III peatükis, kui neid kohustusi ei ole IKÜMi artikli 23 alusel piisavalt selge ja proportsionaalse õigusnormiga õiguspäraselt piiratud.
48.      Järelevalveasutuste sõltumatusest, mis on ette nähtud IKÜMi artiklis 52 ja leiab kinnitust ka põhjendusest 117, tuleneb, et nad tuleb kvalifitseerida vastutavateks töötlejateks, kui tegemist on isikuandmetega seotud toimingutega, mida nad teevad oma seadusjärgseid ülesandeid täites. See, et nad saavad oma vastavusse viimise ja järelevalvevolitusi teostada täiesti sõltumatuna üksustest, kelle üle nad järelevalvet teevad, on võimalik üksnes tänu sellele, et nad määravad asjaomaste töötlemistoimingute eesmärgid ja vahendid iseseisvalt kindlaks. Kui pidada neid kaebuste menetlemisel lihtsalt kolmandate isikute määratud eesmärkide täitjateks, kahjustaks see nende institutsioonilist sõltumatust, viiks nad sõltuvussuhtesse vastutavate töötlejatega, keda nad hindavad, ning muudaks liidu õiguses ette nähtud vastutusnõude sisutühjaks. Seega peab järelevalveasutus isikuandmete töötlemise eest kaebemenetluses ise vastutama, kuna andmesubjektide õigused, mis on IKÜMis ette nähtud, kehtivad tema suhtes täielikult.(19)
49.      Viimaks tuleb märkida, et kui järelevalveasutust ei kvalifitseeritaks kaebuste menetlemise kontekstis vastutavaks töötlejaks, puuduks andmesubjektil suuresti kaitse ühe tema andmete töötlemise keskse komponendi ees. Andmesubjektide õigusi, mis on IKÜMi artiklites 12–22 ette nähtud, eriti andmetega tutvumise õigust, mis on ette nähtud artiklis 15, saab kasutada üksnes vastutava töötleja vastu. Kui asutust selleks ei kvalifitseerita, ei ole andmesubjektil võimalik teada saada, milliseid andmeid asutus kaebuse menetlemisel kogub ja töötleb, ega nõuda nende parandamist, kustutamist või töötlemise piiramist. Nii ei kehtiks andmetöötlusele selles asutuses mingid läbipaistvus- ega vastutusnõuded, olgugi et selle asutuse ülesanne on just andmesubjektide õiguste kaitset tagada. Vastutavaks töötlejaks kvalifitseerimata jätmine tekitaks seega struktuurse kaitselünga, mis võtaks andmesubjektilt tema suhetes järelevalveasutusega põhitagatised, mis on IKÜMis ette nähtud.(20)
50.      Sellest järeldub, et IKÜMi artikli 77 alusel esitatud kaebusi menetledes otsustab järelevalveasutus töötlemise eesmärkide ja vahendite üle ega piirdu kolmanda isiku määratud andmete vastuvõtmise või haldamisega. Ta tegutseb iseseisva osalisena, kes kogub, korraldab, analüüsib ja kasutab isikuandmeid kui avaliku võimu teostamise raames tehtavate otsuste alust. Seega tuleb ta kvalifitseerida IKÜMi artikli 4 punktis 7 antud laia määratluse tähenduses vastutavaks töötlejaks.(21)
51.      Ammendavuse huvides tuleb märkida, et kuigi liidu seadusandja ei ole juhtu, mil järelevalveasutus on kaebemenetluses ühtlasi IKÜMi artikli 4 punkti 7 tähenduses vastutav töötleja, sõnaselgelt reguleerinud, ei ole see oluline argument sellise kvalifitseerimise vastu. Oluline tegur on hoopis see, kas asutus vastab selles sättes ette nähtud sisulistele tingimustele. Nagu aga eespool tehtud analüüsist näha, on see käesoleval juhul ilmselgelt nii.
52.      Selles kontekstis ei saa nõustuda ka Landesamti argumendiga, et teatavad IKÜMi sätted eeldavad tingimata ranget vahetegemist järelevalveasutuse ja vastutava töötleja vahel. Need sätted puudutavad üksnes liidu seadusandja silmas peetud teoreetilist olukorda, milles nende kahe rolli piirid on selged. Need ei välista siiski seda, et järelevalveasutus võib teatud asjaoludel – sellistes, nagu on kõne all põhikohtuasjas – vastata ühtlasi ka tingimustele, mida on vaja, et teda vastutavaks töötlejaks kvalifitseerida.
53.      Kuna teatavates IKÜMi sätetes on ette nähtud vastutava töötleja ja järelevalveasutuse vaheline koostöö või konsulteerimine, eelkõige selle artiklites 31 ja 36, saab kollisiooni, mis võib nende rollide kattumisest tuleneda, lahendada selle määruse teleoloogilise tõlgendamisega. Selline tõlgendamine eeldab, et järelevalveasutuse sisesed menetlused korraldataks ja koordineeritaks nii, et asjaomaste sätete eesmärkide tegelik saavutamine oleks tagatud.
3.      Kaebuse esitaja õigus andmetega tutvuda, mis põhineb IKÜMi artiklil 15
54.      Nagu käesolevas ettepanekus märgitud, tähendab järelevalveasutuse kvalifitseerimine vastutavaks töötlejaks, et ta on kohustatud tagama IKÜMi III peatükis andmesubjektidele antud õiguste austamise. Nende õiguste hulka kuulub muu hulgas selle määruse artiklis 15 ette nähtud õigus andmetega tutvuda.
55.      Põhimõtteliselt on kaebuse esitaja IKÜMi artikli 77 alusel algatatud menetluses ühtlasi selle määruse tähenduses ka andmesubjekt. Andmesubjektina võib ta küsida järelevalveasutuselt kinnitust, kas teda puudutavaid isikuandmeid töödeldakse. Jaatava vastuse korral hõlmab andmetega tutvumise õigus ka kogu teavet, mille ammendav loetelu on IKÜMi artikli 15 lõike 1 punktides a–h ning mille hulka kuuluvad muu hulgas töötlemise eesmärk, asjaomaste andmete liigid, vastuvõtjad või vastuvõtjate kategooriad, säilitamise ajavahemik ja teave andmesubjekti õiguste kohta.
a)      Õigus saada IKÜMi artikli 15 lõike 3 alusel koopia
56.      Andmetega tutvumise õigus hõlmab muu hulgas andmesubjekti õigust saada IKÜMi artikli 15 lõike 3 alusel andmete koopia. See säte kohustab vastutavat töötlejat edastama andmesubjektile tema isikuandmete koopia arusaadaval kujul, millest on võimalik nende töötlemise ulatust ja korda täpselt mõista. Selle õiguse eesmärk on anda andmesubjektile võimalus kontrollida, milliseid tema kohta käivaid andmeid töödeldakse, teha kindlaks nende allikad, mõista töötlemise eesmärke ja teada andmete võimalikke vastuvõtjaid.(22)
57.      Euroopa Kohus on otsustanud, et koopia tuleb esitada tingimustel, mis võimaldavad töötlemise seaduslikkust tegelikult kontrollida ning muid IKÜMis sätestatud õigusi tulemuslikult kasutada.(23) Mõiste „koopia“ ei tähista mitte dokumenti kui sellist, vaid selles sisalduvaid isikuandmeid; oluline on, et need andmed esitataks täielikult, selgelt ja nende tähenduse edasiandmiseks sobival viisil. Selle õiguse teostamise tagamiseks võib osutuda hädavajalikuks, et esitatakse dokumentide väljavõtteid või isegi terveid dokumente – või ka väljavõtteid andmebaasidest, mis sisaldavad muu hulgas töödeldavaid isikuandmeid.(24)
58.      Selle õiguse ulatus jääb siiski kitsalt oma ülesande piiresse. See hõlmab üksnes andmesubjekti isikuandmeid ja kätkeb igasugust teavet, mis käib andmesubjekti kohta või mis võimaldab teda tuvastada, nagu on sätestatud IKÜMi artikli 4 punktis 1. Kui nende andmete täielikuks mõistmiseks on vaja nende konteksti, võib teavitamiskohustus hõlmata andmetest asjakohase väljavõtte edastamist või nende esitamist kontekstis, ning seda läbipaistvusnõuete täitmiseks vajalikus ulatuses. Koopia saamise õigus on seega üks IKÜMiga kehtestatud teabealase enesemääramise mehhanismi keskseid osi, kuna see tagab andmesubjektile sisulise kontrolli oma andmete töötlemise üle ja võimaldab tal veenduda, kas see vastab liidu õiguse nõuetele.
b)      IKÜMi artiklis 15 ei ole ette nähtud üldist õigust tutvuda haldustoimikuga
59.      IKÜMi artiklis 15 ette nähtud õigust andmetega tutvuda, mis on isikuandmete kaitse süsteemi olemuslik osa, ei saa siiski käsitada kui üldist haldustoimikuga tutvumise õigust ega kui haldusliku läbipaistvuse üldnõuet. Selle sätte ainus eesmärk on tagada töötlemise läbipaistvus, et andmesubjekt saaks kontrollida töötlemise seaduslikkust ja kasutada tulemuslikult sellest tulenevaid õigusi, sealhulgas õigust andmete parandamisele, kustutamisele („õigust olla unustatud“), töötlemise piiramisele või õigust esitada vastuväiteid.(25) Seevastu ei anna see säte ei üldist õigust tutvuda haldusasutuse valduses oleva teabega, õigust tutvuda asutusesiseste dokumentidega ega ammugi mitte õigust, et talle avaldataks avaliku sektori asutuse sisese arutelu- või otsustusprotsessi asjaolusid. See on ilmne, kui võrrelda omavahel IKÜMi artikli 15 kohast andmetega tutvumise õigust ja muid andmetega tutvumise õigusi, mis on liidu ja liikmesriikide õiguses ette nähtud.
60.      Esiteks on IKÜMi artiklil 15 ja artikli 77 lõikel 2 eri eesmärgid ja neil tuleb seega rangelt vahet teha. Artikli 77 lõikega 2 on kehtestatud menetlusõigus saada teavet kaebuse menetlemise käigust ja tulemusest, kuid sellega ei ole antud andmekaitsenormidel põhinevat õigust andmete või dokumentidega tutvuda. Samal ajal, kui IKÜMi artikli 15 eesmärk on anda isikule kontroll oma isikuandmete üle, on artikli 77 lõige 2 niisiis seotud menetlusliku läbipaistvusnõudega kaebuste halduslikul menetlemisel. Neid sätteid, millel on kummalgi iseseisev ese ja ulatus, ei saa üksteisega segi ajada ega asendada. Tegemist on eraldiseisvate õigusnormidega, millel on eri normatiivne loogika, millest kummalgi on oma teostamistingimused ning mis ei ole mõeldud üksteisega kattuma ega üksteist asendama.
61.      Teiseks on IKÜMi artikliga 15 kehtestatud üksnes õigus isikuandmetega tutvuda ning see ei anna ei õigust tutvuda haldustoimikuga ega õigust tutvuda asutuse valduses olevate dokumentidega.(26) Selle esemeline kohaldamisala piirdub töödeldavatest isikuandmetest teavitamisega ega hõlma halduslikku läbipaistvust ega asutusesisestest otsustusprotsessidest teabe saamist. Seega jääb toimikuga tutvumise õigus – juhul, kui liidu õiguse valdkondlikes sätetes pole ette nähtud teisiti – liikmesriikide normatiivsesse pädevusse, kus seda reguleerivad üldjuhul õigusaktid üldise haldusmenetluse kohta, spetsiaalsed menetlusnormid, seadused teabevabaduse ja läbipaistvuse kohta või konkreetse kutseala või sektori eeskirjad.(27)
62.      Järelikult ei anna IKÜMi artikkel 15 mingit õigust haldustoimiku edastamisele ega õigust sellega tutvuda. Konkreetsemalt öeldes ei hõlma andmetega tutvumise õiguse kohaldamisala asutusesiseseid õiguslikele analüüse, arvamusi, märkuseid, asutusesiseseid teatisi, ettevalmistavaid dokumente ega üldisemalt andmeid haldusotsuse väljatöötamise või selle siseste põhjenduste kohta. Kui asutuse valduses olev dokument sisaldab kaebuse esitaja isikuandmeid, piirdub teavitamiskohustus nende andmete kui selliste esitamisega ega hõlma neid andmeid sisaldavate dokumentide terviklikku üleandmist või reprodutseerimist. Viimaks tuleb märkida, et teave, millel puudub andmesubjektiga seos, mis võimaldab teda otse või kaudselt tuvastada, jääb IKÜMi artikli 15 esemelisest kohaldamisalast olemuslikult välja.
63.      Lisaks tuleb märkida, et IKÜMi artiklis 15 ette nähtud õigust andmetega tutvuda võib sama määruse artikli 23 lõike 1 alusel piirata, kui selles sättes ette nähtud tingimused on täidetud. Seda aspekti puudutab teine eelotsuse küsimus, mida käsitlen järgmises jaos.
4.      Vahejäreldus
64.      Eeltoodud kaalutlusi arvestades tuleb minu hinnangul esimesele küsimusele vastata, et IKÜMi artiklit 15 koostoimes artikli 4 punktiga 7 tuleb tõlgendada nii, et kui selle määruse artikli 4 punkti 21 tähenduses järelevalveasutus menetleb nimetatud määruse artikli 77 alusel esitatud kaebust, on ta sama määruse tähenduses ka vastutav töötleja ning on seega kohustatud tagama andmesubjektile IKÜMi artiklis 15 ette nähtud õiguse andmetega tutvuda.
C.      Teine küsimus
1.      IKÜMi artiklis 23 loetletud piirangud, mida võib isikuandmetega tutvumise õigusele seada
65.      Teise küsimusega palub eelotsusetaotluse esitanud kohus selgitada, kuidas suhestub IKÜMi artikkel 23 sellise riigisisese õigusnormiga, mis välistab BayDSG artikli 20 lõike 2 moel üldse igasuguse õiguse andmetega tutvuda või andmekaitse järelevalveasutusega konsulteerida. Sellele küsimusele vastamiseks on vaja põhjalikult analüüsida IKÜMit kui tervikut, lähtudes selle sõnastusest, eesmärgist ja asjasse puutuvatest põhjendustest, ning rakendada põhimõtteid, mille Euroopa Kohus on välja töötanud nende piirangute kohta, mida võib andmesubjektide õigustele kehtestada.
66.      IKÜMi artiklis 23 on ette nähtud, et liidu või liikmesriikide seadusandlike meetmetega, mis on vastutava töötleja suhtes kohaldatavad, võib muu hulgas piirata selle määruse artikliga 15 tagatud õigust andmetega tutvuda, kui selline piirang austab põhiõiguste ja -vabaduste olemust ning on demokraatlikus ühiskonnas vajalik ja proportsionaalne meede, et tagada mõne selle sätte punktides a–j loetletud õiguspärase eesmärgi saavutamine. IKÜMi artikli 23 lõiget 1 ei saa siiski tõlgendada nii, nagu see lubaks liikmesriigi seadusandjal selle määruse artiklite 12–22 sätted oma õigusnormidega oma suva järgi asendada. Vastupidi, selles sättes on antud kaitseklauslite ammendav kataloog, mis lubab liikmesriigi seadusandjal loetelus otsesõnu nimetatud põhjustel piirata andmesubjektide õigusi ja vastutava töötleja kohustusi, mis tulenevad nendest artiklitest.(28)
67.      Seega on IKÜMi artikliga 23 kehtestatud erand selles sättes nimetatud valdkondade jaoks, mis on seotud peamiselt avalik-õiguslike ülesannete täitmise ja sellistes ülekaalukates üldistes huvides tegutsemisega, mille puhul võib olla põhjendatud, et andmesubjektide õigused on nõrgemad kui teistes tegevusvaldkondades. Sellega seoses tuleb arvesse võtta IKÜMi põhjenduse 4 esimest ja teist lauset, mis nõuavad asjaomaste põhiõiguste tasakaalustamist ning tagamist, et kavandatavad piirangud oleksid põhjendatud, vajalikud ja proportsionaalsed, võttes arvesse vastanduvaid õigusi ja huve.
68.      Eelotsusetaotluses on öeldud, et kuigi Baieri seaduse seletuskirjas on BayDSG artikli 20 lõike 2 õiguslikuks aluseks sõnaselgelt nimetatud IKÜMi artiklit 23, ei ole selles Baieri seaduse sättes mainitud ühtki IKÜMi sättes loetletud eesmärki. Seal on üksnes öeldud, et see õigusnorm kajastab konkreetset nõuet, et andmekaitse järelevalveülesannete täitmisel saadud teave oleks seotud kindla eesmärgiga. Eelotsusetaotluse esitanud kohus märgib siiski, et vastavalt seisukohtadele, mille Landesamt põhikohtuasjas esitas, on sellel sättel tegelikult kaks peamist eesmärki: esiteks kolmandate isikute isikuandmete konfidentsiaalsuse hoidmine ning teiseks järelevalveasutuse toimimisvõime ja sõltumatuse tagamine.
69.      Vastavalt põhimõtetele, mis reguleerivad ELTL artikliga 267 kehtestatud liidu kohtu ja liikmesriikide kohtute koostöömehhanismi – mille kohaselt on liikmesriigi õiguse tõlgendamine eelotsusetaotlust taotlevate kohtute ainupädevuses(29) ning Euroopa Kohtul tuleb juhinduda nende tehtud täpsustustest selle õiguse sisu ja ulatuse kohta(30) – lähtun oma analüüsis neist asjaoludest.
2.      Küsimus, kas IKÜMi artiklis 15 ette nähtud andmetega tutvumise õiguse üldine välistamine on selle määruse artikliga 23 kooskõlas
70.      Käesolevas ettepanekus selgitan järgmiseks välja, kas see, kui IKÜMi artiklis 15 ette nähtud õigus andmetega tutvuda üldse välistatakse, võib olla eelnimetatud seadusandlike eesmärkide seisukohast põhjendatud. Samuti analüüsin küsimust, kas sellised õigusnormid vastavad lisanõuetele, mis peavad IKÜMi artikli 23 kohaselt selle õiguse igasuguse piiramise korral täidetud olema.
a)      Õiguspärane eesmärk
1.      Kolmandate isikute isikuandmete konfidentsiaalsuse kaitse
71.      Kolmandate isikute isikuandmete konfidentsiaalsuse kaitse on IKÜMi kohaselt õiguspärane eesmärk, mille alusel võib andmesubjektidele antud õiguste piiramine põhimõtteliselt olla põhjendatud. Selle kohta tuleb märkida, et IKÜMi artiklis 15 ette nähtud õigust andmetega tutvuda on selle määruse põhjenduses 63 täpsustatud nii, et „[s]ee õigus ei tohiks kahjustada teiste isikute õigusi ega vabadusi“. Seega tuleb arvesse võtta, et nagu on öeldud nimetatud määruse põhjenduses 4, ei ole õigus isikuandmete kaitsele absoluutne õigus, sest seda tuleb kaaluda, lähtudes selle ülesandest ühiskonnas, ning tasakaalustada muude põhiõigustega.(31)
72.      IKÜMi artikli 23 lõike 1 punktis i on teiste isikute õiguste ja vabaduste kaitset sõnaselgelt nimetatud ning seda kinnitab ka selle määruse põhjendus 73. Järelikult võib liikmesriigi seadusandja siis, kui tegemist on asutuse töötajate või eraõiguslike isikute isikuandmetega, õiguspäraselt tugineda asjaolule, et nende avalikustamine kahjustaks isikuõigusi ja et on olemas kaitsevajadus, mis tuleb seada tasakaalu kaebuse esitaja õigusega andmetega tutvuda.
2.      Järelevalveasutuste toimimisvõime ja sõltumatuse kaitse
73.      Ka järelevalveasutuste toimimisvõime ja otsustusprotsessi sõltumatuse säilitamine on IKÜMi artikli 23 lõike 1 seisukohast õiguspärane eesmärk. Liidu seadusandja on omistanud neile eesmärkidele Euroopa Liidu andmekaitsesüsteemis keskse rolli, millest annab esiteks tunnistust selle määruse artikkel 52, mis tagab nende täieliku sõltumatuse, ning teiseks sama määruse artiklites 57 ja 58 ette nähtud uurimis- ja parandusvolituste ulatus.(32) Selle kohta on Euroopa Kohus oma kohtupraktikas rõhutanud, et tuleb tagada nende asutuste nõuetekohane toimimine, sealhulgas hoolitsedes selle eest, et toimimist ei takistaks IKÜMi artikli 57 lõikes 4 nimetatud selgelt põhjendamatud või ülemäärased kaebused.(33)
74.      Järelikult ning arvestades IKÜMi artikli 23 lõike 1 punkti h, mis lubab kehtestada piiranguid, kui neid on vaja avaliku võimu teostamisega seotud jälgimis- ja kontrolliülesannete täitmiseks, võib andmetega tutvumise õiguse piiramine olla põhimõtteliselt põhjendatud. Lisaks tuleb olemasolevaid paralleele arvestades arvesse võtta ka IKÜMi artikli 23 lõike 1 punktis f nimetatud eesmärki, mida on täpsustatud selle määruse põhjenduses 73, nimelt tagada kohtusüsteemi sõltumatus ja kohtumenetluse käigu kaitse. Järelevalveasutused ei kuulu küll kohtute hulka; ent sarnaselt õigusnorme kohaldavate riigiorganitega on neil siiski tähtis roll isikuandmete kaitse alaste õigusnormide rikkumiste avastamisel ja nende eest karistamisel. Järelikult on igatahes mõeldav, et seda sätet saab analoogia alusel kohaldada.
3.      Avaliku julgeoleku kaitse
75.      Ammendavuse huvides tuleb märkida, et eelotsusetaotluses on ühe võimaliku alusena mainitud ka IKÜMi artikli 23 lõike 1 punktis c nimetatud avaliku julgeoleku kaitset, seda siiski täpsemalt selgitamata. Siin tuleb siiski nõustuda eelotsusetaotluse esitanud kohtu ja komisjoni hinnanguga, et sellele tuginemine ei ole ilmselt põhjendatud. Kui arvestada põhikohtuasja asjaolusid sellisena, nagu eelotsusetaotluse esitanud kohtu on need esitanud, ei tundu taoline piirang ilmselgelt asjakohane olevat. Järelikult tuleb see alus järgnevas analüüsis kõrvale jätta.
b)      IKÜMi õigusraamistikuga kehtestatud nõuded
76.      Ühest küljest tuleb nentida, et kolmandate isikute isikuandmete konfidentsiaalsusega seotud huvi on niisugustes riigisisestes õigusnormides nagu BayDSG artikli 20 lõige 2 asjakohaselt arvesse võetud, kuna see säte keelab kategooriliselt niisuguste andmete edastamise. Ei saa ka välistada, et kui järelevalveasutused ei tee andmetega tutvumise taotluste menetlemisel koostööd, võidakse selle tulemusel materiaalseid ja inimressursse teistesse tegevusvaldkondadesse suunata, mis võib sellisel juhul seal teatud määral tõhusust suurendada.
77.      Teisalt äratavad sellised asjaolud kahtlusi, kas need on kooskõlas õigusraamistikuga, mille liidu seadusandja on IKÜMit vastu võttes kehtestanud, eriti selle määruse kui terviksüsteemiga, mis põhineb tasakaalul mitme huvi vahel: andmetöötluse läbipaistvus, konfidentsiaalsuse hoidmine, kui seda on vaja, ja nende huvide tõhus kaitse järelevalveasutuste poolt. Liikmesriigi õigusnormid, milles nende huvide tasakaalustamine piisavalt ei kajastu, ei saa seega IKÜMi artikli 23 lõike 1 nõuetele vastata. Sama kehtib siis, kui ilmneb, et võimalik oleks võtta meetmeid, mis riivaksid põhiõigusi vähem, olles taotletavate eesmärkide saavutamiseks sama tõhusad.(34)
78.      Sellega seoses tuleb meenutada, et IKÜMis käsitatakse selle määruse artiklis 15 ette nähtud õigust andmetega tutvuda kui läbipaistvuse põhimõtte olemuslikku osa. Selline käsitus on selgelt näha selle määruse põhjendusest 63, mille kohaselt peab andmesubjektil olema võimalik olla töötlemisest teadlik, et talle kõnealuse määrusega antud õiguste teostamine oleks tagatud. Euroopa Kohus on seda seisukohta korduvalt kinnitanud, märkides, et õigus andmetega tutvuda on selle määrusega kehtestatud süsteemi üldises ülesehituses kesksel kohal. Liikmesriigi õigusnorm, mis jätab andmesubjekti sellest õigusest üldiselt ja vahet tegemata ilma, kahjustab seega liidu seadusandja loodud kaitsesüsteemi tuuma ennast.
79.      Kuigi on tõsi, et IKÜMi artikkel 23 lubab avalikes huvides andmesubjektide õigusi, sealhulgas andmetega tutvumise õigust piirata, nõuab see samas, et sellistel piirangutel oleks piisavalt täpne õiguslik alus. Selles aluses peavad piirangu laad, ulatus ja piirid ning kuritarvitamise ohu vältimiseks vajalikud kaitsemeetmed olema selgelt kindlaks määratud. Nimetatud määruse põhjenduses 41 on samamoodi täpsustatud, et määrusega tagatud õiguse piiramine peab igal juhul olema selge ja täpne ning andmesubjekti jaoks eeldatav, nii et tal oleks võimalik kindlaks teha, mis ulatuses tema õigusi võidakse piirata.(35) Liikmesriigi õigusnorm, mis andmetega tutvumise õiguse üldse välistab, piiritlemata oma esemelist või isikulist kohaldamisala või nägemata ette kaitsemeetmeid, ei saa niiviisi kehtestatud nõuetele vastata.
80.      Lisaks on IKÜMi põhjenduses 60 kinnitatud, et läbipaistvus on isikuandmete töötlemise aluspõhimõte, mis kehtib ka ametiasutuste tegevusele. Kuigi teatavad andmed võib kaebemenetluses ajutiselt esitamata jätta, muu hulgas selleks, et mitte kahjustada süütegude ennetamist, avastamist või uurimist,(36) peab selline erand tingimata jääma vajalikuks ja proportsionaalseks ega tohi läbipaistvust andmesubjekti seisukohast täielikult neutraliseerida. Liikmesriigi õigusnorm, mis välistab üldse õiguse andmetega tutvuda, tegemata vahet isikuandmetel ja asutusesisestel dokumentidel, eirab seega IKÜMi ülesehitust.
81.      Samuti on Euroopa Kohus harta artikli 52 lõiget 1 arvestades otsustanud, et piirangud, mida võib põhiõigusele seada, peavad olema lisaks seaduslikkuse ja proportsionaalsuse põhimõttele kooskõlas ka põhimõttega, mille kohaselt tuleb arvestada asjaomase õiguse olemust.(37) IKÜMi põhjenduses 4 on kinnitatud, et isikuandmete kaitse on harta artiklis 8 sätestatud põhiõigus, mida võib piirata üksnes proportsionaalsuse põhimõtet järgides. Andmetega tutvumise õiguse täielik välistamine tähendab aga kokkuvõttes, et andmesubjekt jääb sellest õigusest põhiolemuses ilma, kuna ta ei saa end puudutavat andmetöötlust vähimalgi määral kontrollida.
82.      IKÜMi põhjenduses 75 on lisaks rõhutatud, et läbipaistvuse puudumine või ebapiisavus kujutab endast juba ise ohtu, mis võib andmesubjektide õigusi ja vabadusi tõsiselt mõjutada. Õigusnormid, mis võtavad andmesubjektilt igasuguse võimaluse teda puudutavast andmetöötlusest teavet saada, põhjustavad just sellise riskantse olukorra, mida seadusandja soovis ära hoida.
83.      Tuleb lisada, et IKÜMi põhjenduses 129 on järelevalveasutusi kirjeldatud kui sõltumatuid organeid, kelle ülesanne on tagada selle määruse täitmine ja kaitsta andmesubjektide õigusi. See ülesanne ja nende asutuste roll IKÜMiga loodud järelevalvemehhanismis ei tähenda siiski, et nad oleksid vabastatud kõigist sellest määrusest tulenevatest kohustustest. Vastupidi, IKÜMiga on loodud sidus õigusraamistik, milles järelevalveasutustel tuleb ka oma võimu teostamisel täies ulatuses järgida IKÜMis sätestatud eeskirju, eriti neid, mis puudutavad andmesubjektide õigusi. Liikmesriigi õigusnorm, mis välistab andmesubjekti puudutavate andmete esitamise täielikult, ohustab seda tasakaalu ja rikub järelevalveasutuste vastutuse nõuet.
84.      Lisaks on see, kui andmetega tutvumise õigus täielikult välistatakse, ilmses vastuolus IKÜMi eesmärgiga tagada füüsiliste isikute andmete kõrgetasemeline kaitse, nagu on märgitud selle määruse põhjenduses 10.(38) Sellisel tasemel kaitse rajaneb peamiselt läbipaistvusel ja andmesubjekti võimalusel jälgida teda puudutavaid töötlemistoiminguid. Sellest seisukohast on nimetatud määruse artiklis 15 ette nähtud õigus andmetega tutvuda hädavajalik, kuna sellel põhineb ka võimalus kõiki muid andmesubjektide õigusi tegelikult kasutada.(39) Selle õiguse üldine välistamine tähendaks, et teatud töötlemistoimingud jääksid igasuguse individuaalse kontrolli alt välja, mis kahjustaks seega liidu seadusandja soovitud kõrgetasemelise kaitse tõhusust.
85.      Mis puutub kolmandate isikute õiguste ja vabaduste kaitsmise eesmärki, millele tuginedes andmetega tutvumise õiguse piiramist põhjendati, siis tuleb märkida, et Euroopa Kohus on leidnud, et kui andmetega tutvumise õigus on kollisioonis teiste isikute õiguste või vabadustega, tuleb ametiasutustel leida asjaomaste huvide vahel tasakaal. IKÜMi põhjenduses 63 on sõnaselgelt väljendatud, et selle tasakaalustamisega ei saa mingil juhul põhjendada seda, kui andmetega ei lasta üldse tutvuda.(40) Asjaomaste huvide ühitamiseks saab tingimusi kohandada, näiteks anda osalist teavet, eemaldada andmeid või muuta need anonüümseks, varjata rikkumisest teataja identiteeti, käidelda eri kategooria dokumente erinevalt või anda struktureeritud teavet isikustamata kujul, ilma andmetega tutvumise õigust täielikult kaotamata.
86.      Mis puutub väidetavasse vajadusse tagada järelevalveasutuste ülesannete sõltumatu ja tõhus täitmine, siis ei ole selge, kuidas IKÜMi artikli 15 kohane andmetega tutvumise õiguse kasutamine võiks seda eesmärki ohustada. Tuleb nõustuda eelotsusetaotluse esitanud kohtu hinnanguga, et järelevalveasutuste sõltumatus ei tähenda sugugi, et andmesubjektil ei tohiks olla kontrolli selle üle, kas need asutused töötlevad isikuandmeid õiguspäraselt. Seega tuleb välistada Landesamti väidetud oht, et teabega tutvumise võimalus võib soodustada mõju avaldamist.
87.      Pealegi, nagu käesolevas ettepanekus on selgitatud, ei ole IKÜMi artiklis 15 ette nähtud üldist õigust toimikuga tutvuda,(41) mistõttu sellest tulenev halduskoormus jääks tõenäoliselt piiratuks. Sellest olenemata tuleb märkida, et selle määruse artikli 12 lõikes 5 on järelevalveasutuste käsutusse antud sobiv vahend õigusi kuritarvitavate või ülemääraste taotlustega toime tulemiseks.(42) Neil asutustel on ka õigus võtta mitmesuguseid ohjamismeetmeid, näiteks hoiduda menetluse ajal ajutiselt teabe andmisest, jätta teatavad asutusesisesed dokumendid avalikustamisest kõrvale, eristada eri liiki menetlusi, anda teavet ainult juba lõppenud etappide kohta või võtta kasutusele korralduslikke mehhanisme, mis tagavad, et andmetega tutvumise taotlused ei häiriks asutusesiseseid protsesse. Selliste meetmetega saab tagada järelevalveasutuste nõuetekohase toimimise, ilma et IKÜMi artiklis 15 ette nähtud õigust andmetega tutvuda siiski täielikult välistataks.
88.      Samuti on oluline meenutada, et järelevalveasutuste tõhususe jaoks on määrava tähtsusega, kas nende käsutusse on antud vajalikud vahendid, nimelt tehnilised, rahalised ja inimressursid ning ruumid ja taristu, mida neil on oma ülesannete tõhusaks täitmiseks ja volituste kasutamiseks tingimata vaja.(43) IKÜMi artikli 52 lõikes 4 nõutakse sõnaselgelt, et liikmesriigid need vahendid tagaksid. Seda arvesse võttes ei saa järelevalveasutuste toimimise küsimust taandada üksnes IKÜMi artikli 15 alusel esitatud andmetega tutvumise taotluste arvule. Nende asutuste ebapiisav varustamine ei tohi mingil juhul põhjustada isikuandmete kaitse taseme langust.
89.      Eelotsusetaotlusest võib lugeda, et BayDSG artikli 20 lõige 2 on Saksa õiguskorras ainulaadne, sest ühelgi teisel liidumaal ei ole andmetega tutvumise õigust sarnasel moel välistatud. Selline seadusandlik erandlikkus on arvestatav kaudne tõend, mis näitab, et selle õiguse ulatuse piiramist ei saa pidada IKÜMi artikli 23 lõike 1 mõttes vajalikuks või proportsionaalseks. Kuna kõik teised järelevalveasutused täidavad oma ülesandeid ilma andmesubjektide õigusi üldiselt kaotamata, on raske väita, et sellist meedet on asutuse nõuetekohaseks toimimiseks või kolmandate isikute õiguste kaitseks tingimata vaja. Õigusnormid, mis on iseloomulikud ainult ühele liidumaale ning piiravad IKÜMiga tagatud õigusi märksa rohkem kui need, mis on kehtestatud riigi territooriumi teistes osades, ei tundu liidu õigusest tulenevatele ühtsuse, vajalikkuse ja proportsionaalsuse nõuetele
vastavat.
90.      Seega tuleb tõdeda, et kahe väidetud eesmärgi – kolmandate isikute õiguste kaitse ja järelevalveasutuste ülesannete nõuetekohase täitmise jätkumise – puhul on soovitud tulemusi võimalik saada vähem piiravate, diferentseeritumate ja liidu õigusega kooskõlas olevate meetmete abil, kaotamata andmetega tutvumise õiguse olemust, kõrvaldamata nõutavat läbipaistvust andmesubjekti jaoks ja takistamata võimalust kontrollida, kas andmeid töödeldi õiguspäraselt.
91.      Teine kriitilise tähtsusega aspekt on see, et BayDSG artikli 20 lõikest 2 ei selgu, mis eesmärki liikmesriigi seadusandja taotles. Nagu eelotsusetaotluse esitanud kohtu antud teabest selgub, piirduvad ettevalmistavad materjalid sellega, et seal mainitakse IKÜMi artiklit 23 kui õiguslikku alust, nimetamata siiski ühtki selles sättes loetletud eesmärki. Kõnealuse artikli 23 kohaselt peab piirangu eesmärk olema aga sättes endas selgelt väljendatud; see on vajalik tingimus, et vajalikkuse ja proportsionaalsuse põhimõtte järgimist saaks tegelikult kontrollida.
92.      Seda selgusnõuet ei saa täita põhjendustega, mille ELTL artikli 267 kohase eelotsusemenetluse pool tagantjärele esitab, eriti kui kõnealune piirang on sellele poolele endale kasulik. Kui lubada sellist võimalust, asenduks demokraatlikult vastutava seadusandja tahe kohtuvaidluse käigus välja töötatud argumentatsiooniga, mis oleks vastuolus IKÜMi artikli 23 lõigetest 1 ja 2 tulenevate ettenähtavuse, seadusandliku läbipaistvuse ja õiguskindluse nõuetega.
93.      Neil asjaoludel tuleb järeldada, et selline andmetega tutvumise õiguse üldine ja diferentseerimata välistamine, nagu on ette nähtud BayDSG artikli 20 lõikes 2, ei ole IKÜMi artikli 23 nõuetega kooskõlas, kuna see säte ei sisalda mingeid andmeid, mida selle artikli lõige 2 sõnaselgelt nõuab, ega lähtu selle määruse ülesehitusest kui tervikust ega eesmärgist, mis tulenevad asjakohastest põhjendustest. Selline säte on ebaproportsionaalne, ei ole piisavalt täpne ning muudab õiguse andmetega tutvuda sisutuks.
3.      Vahejäreldus
94.      Eespool kirjeldatud põhjustel tuleb IKÜMi artiklit 23 minu hinnangul tõlgendada nii, et BayDSG artikli 20 lõike 2 taolised riigisisesed õigusnormid on sellega vastuolus, kuna need välistavad põhimõtteliselt määruse artiklil 15 põhineva õiguse andmetega tutvuda, millele saaks tugineda järelevalveasutuse vastu.
VI.      Ettepanek
95.      Esitatud põhjendustest lähtudes teen Euroopa Kohtule ettepaneku vastata Bayerisches Verwaltungsgericht Ansbachi (Baieri liidumaa Ansbachi halduskohus, Saksamaa) eelotsuse küsimustele järgmiselt.
1.      Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruse
(EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) artiklit 15 tuleb koostoimes artikli 4 punktiga 7
tõlgendada nii, et
kui selle määruse artikli 4 punkti 21 tähenduses järelevalveasutus menetleb nimetatud määruse artikli 77 alusel esitatud kaebust, on ta sama määruse tähenduses ka vastutav töötleja ning on seega kohustatud tagama andmesubjektile sama määruse 2016/679 artiklis 15 ette nähtud õiguse andmetega tutvuda.
2.      Määruse 2016/679 artiklit 23
tuleb tõlgendada nii, et
Baieri andmekaitseseaduse artikli 20 lõike 2 taolised riigisisesed õigusnormid on sellega vastuolus, välistades põhimõtteliselt üldmääruse artiklil 15 põhineva õiguse andmetega tutvuda, millele saaks tugineda järelevalveasutuse vastu.
1      Algkeel: prantsuse.
2      ELT 2016, L 119, lk 1.
3      Vt käesoleva ettepaneku punkt 24 jj.
4      Vt käesoleva ettepaneku punkt 65 jj.
5      Vt 29. juuli 2019. aasta kohtuotsus Fashion ID (C‑40/17, EU:C:2019:629, punktid 65 ja 66).
6      Euroopa Kohus on lausa leidnud, et füüsilise või juriidilise isiku, kes mõjutab omaenda eesmärkidel isikuandmete töötlemist ning osaleb seetõttu töötlemise eesmärkide ja vahendite kindlaksmääramisel, võib kvalifitseerida vastutavaks töötlejaks (vt 10. juuli 2018. aasta kohtuotsus Jehovan todistajat, C‑25/17 (EU:C:2018:551, punkt 68) ja 29. juuli 2019. aasta kohtuotsus Fashion ID, C‑40/17 (EU:C:2019:629, punkt 68)).
7      IKÜMis ei ole mõistet „kaebus“ sõnaselgelt määratletud, kuid artikli 77 sõnastusest saab selle kohta esimesi vihjeid. Euroopa Andmekaitsenõukogu suuniste kohaselt tähendab kaebus avaldust, mille on järelevalveasutusele esitanud tuvastatud füüsiline isik – või artikli 80 tingimustele vastav organ –, kes leiab, et tema andmete töötlemisega on rikutud IKÜMit. Andmekaitsenõukogu täpsustab, et see mõiste ei piirdu III peatükis täpsustatud õiguste rikkumisega, vaid hõlmab laiemalt kõiki selle määruse rikkumisi, mis on põhjustatud kaebuse esitaja isikuandmete töötlemisega (Euroopa Andmekaitsenõukogu 15. detsembril 2020 vastu võetud „Internal Document 6/2020 on preliminary steps to handle a complaint: admissibility and vetting of complaints“, lk 3).
8      Vt 7. detsembri 2023. aasta kohtuotsus SCHUFA Holding (täitmata jäänud võlakohustusest vabastamine) (C‑26/22 ja C‑64/22, EU:C:2023:958, punkt 58); 26. septembri 2024. aasta kohtuotsus Land Hessen (andmekaitseasutuse tegutsemiskohustus) (C‑768/21, EU:C:2024:785, punkt 35) ja 9. jaanuari 2025. aasta kohtuotsus Österreichische Datenschutzbehörde (ülemäärased taotlused) (C‑416/23, EU:C:2025:3, punkt 39).
9      Vt EFTA kohtu 10. detsembri 2020. aasta kohtuotsus Adpublisher AG
vs.
J & K (liidetud kohtuasjad E‑11/19 ja E‑12/19, punkt 45).
10      Vt 6. oktoobri 2015. aasta kohtuotsus Schrems (C‑362/14, EU:C:2015:650, punkt 63); 16. juuli 2020. aasta kohtuotsus Facebook Ireland ja Schrems (C‑311/18, EU:C:2020:559, punkt 107); 7. detsembri 2023. aasta kohtuotsus SCHUFA Holding (täitmata jäänud võlakohustusest vabastamine) (C‑26/22 ja C‑64/22, EU:C:2023:958, punkt 56) ja 26. septembri 2024. aasta kohtuotsus Land Hessen (andmekaitseasutuse tegutsemiskohustus) (C‑768/21, EU:C:2024:785, punkt 32).
11      Selles kontekstis tuleb viidata kohtujurist Pikamäe ettepanekule liidetud kohtuasjades SCHUFA Holding (täitmata jäänud võlakohustusest vabastamine) (C‑26/22 ja C‑64/22, EU:C:2023:222, punkt 42), milles ta rõhutas, et liidu seadusandja ei soovinud teha kaebemenetlusest lihtsalt petitsioonimenetluse taolist mehhanismi. Vastupidi, tema eesmärk oli luua mehhanism, mis suudab kaebuste esitajate õigusi ja huve tõhusalt kaitsta. Konkreetsemalt annavad IKÜMi artikli 57 lõike 1 punktis f ette nähtud kohustused, mida järelevalveasutusel tuleb nende kaebuste menetlemisel täita ja mis kuuluvad hea halduse põhimõtte alla, tunnistust sellest, et seadusandja soovis teha sellest menetlusest sisuliselt tõelise haldusliku õiguskaitsevahendi.
12      Vt 26. septembri 2024. aasta kohtuotsus Land Hessen (andmekaitseasutuse tegutsemiskohustus) (C‑768/21, EU:C:2024:785, punkt 42).
13      Vt 7. detsembri 2023. aasta kohtuotsus SCHUFA Holding (täitmata jäänud võlakohustusest vabastamine) (C‑26/22 ja C‑64/22, EU:C:2023:958, punkt 70) ja 26. septembri 2024. aasta kohtuotsus Land Hessen (andmekaitseasutuse tegutsemiskohustus) (C‑768/21, EU:C:2024:785, punkt 49).
14      Liidu õiguses ei ole kehtestatud ühtseid nõudeid selle kohta, kuidas järelevalveasutused peavad kaebusi konkreetselt menetlema. Seetõttu on liikmesriikide halduspraktikas teatavaid erinevusi. Sellegipoolest püüab Euroopa andmekaitseinspektor suuniseid andes ja häid tavasid välja töötades tagada, et järelevalve ja menetlustingimused oleksid mingil määral ühtlustatud, eriti mis puutub kaebuste vastuvõtmisse või arhiveerimisse, kokkulepete fikseerimisse jne (vt selle kohta Euroopa Andmekaitsenõukogu „Internal document 6/2020 on preliminary steps to handle a complaint: admissibility and vetting of complaints“, mis võeti vastu 15. detsembril 2020).
15      Nagu EFTA kohus märkis oma 10. detsembri 2020. aasta otsuses Adpublisher AG
vs.
J & K (liidetud kohtuasjad E‑11/19 ja E‑12/19, punkt 60), on järelevalveasutusel IKÜMi artikli 57 lõike 1 punkti h alusel õigus alustada uurimist omal algatusel. Seega võib ta kaebuse läbivaatamise raames otsustada ka muude nõuete või muu vaidluseseme üle kui kaebaja esitatud. Kaebemenetluse tõhususe huvides on vaja, et järelevalveasutust ei piiraks uurimisvolituste kasutamisel see, kuidas kaebuse esitaja on asjakohased õigusküsimused oma kaebuses sõnastanud.
16      Nähtavasti menetlevad järelevalveasutused kaebusi nii riigisiseste õigusnormide kui ka omaenda kaalutlusõiguse alusel. Samuti paistab, et kaebuste menetlemises on erinevusi olenevalt sellest, kas seda tehakse pragmaatiliste kriteeriumide järgi või lihtsustatud menetluses (vt selle kohta González Fuster, G. jt, „The right to lodge a data protection complaint: ok, but then what? – An empirical study of current practices under the GDPR“, Access Now, Open Universiteit, 2022, lk 30).
17      Vt 11. jaanuari 2024. aasta kohtuotsus État belge (ametliku väljaande töödeldavad andmed) (C‑231/22, EU:C:2024:7, punkt 39) ja 27. veebruari 2025. aasta kohtuotsus Amt der Tiroler Landesregierung (C‑638/23, EU:C:2025:127, punkt 49).
18      Euroopa Kohtu palvel kirjeldas Landesamt, milline on tema halduspraktika kaebuste menetlemisel. Ta täpsustas selle kohta, et nende kaebuste esitajad võivad esitada Landesamti pädevatele ametnikele taotlusi, sealhulgas elektrooniliselt, ja paluda lasta endal toimikuga tutvuda. Sellest kirjeldusest on selgelt näha, et see, kuidas Landesamt kaebusi menetleb, sealhulgas andmete kogumisel, korralduslike meetmete võtmisel ja uurimiste toimetamisel, kuulub sõltumatuse alla, mis on talle IKÜMiga ette nähtud, kui ta oma ülesandeid täidab.
19      Möhle, J.‑P., „Verantwortlichkeit als integrierendes Konzept im Datenschutzrecht“, Die Öffentliche Verwaltung, 2023, nr 3, lk 108, selgitab, et andmekaitseõigusest tulenevad kohustused (näiteks teavitamis-, vastutus- või koostöökohustus) saavad siduvad olla üksnes isikule, kellel on tõepoolest võimalik mõju avaldada, ehk isikule, kes suudab edaspidi andmekaitsenormide rikkumised ära hoida. Minu arvates ei ole mingit kahtlust, et kaebemenetluses saab sellele määratlusele vastata ainult järelevalveasutus.
20      Nagu Euroopa Kohus on aga otsustanud, on mõistel „vastutav töötleja“ lai määratlus just eesmärgiga tagada andmesubjektide tõhus ja täielik kaitse (vt 13. mai 2014. aasta kohtuotsus Google Spain ja Google, C‑131/12 (EU:C:2014:317, punkt 34); 29. juuli 2019. aasta kohtuotsus Fashion ID (C‑40/17, EU:C:2019:629, punkt 66) ja 5. juuni 2018. aasta kohtuotsus Wirtschaftsakademie Schleswig-Holstein (C‑210/16, EU:C:2018:388, punkt 28)).
21      Vt selle kohta Kunert, J., „Vorabentscheidungsersuchen an den EuGH zur Aufsichtsbehörde als Verantwortlicher und zur Rechtmäßigkeit des Art. 20 II BayDSG“, GRUR-Prax, 2025, nr 9, lk 324.
22      Vt 22. juuni 2023. aasta kohtuotsus Pankki S (C‑579/21, EU:C:2023:501, punkt 50).
23      Vt 4. mai 2023. aasta kohtuotsus Österreichische Datenschutzbehörde ja CRIF (C‑487/21, EU:C:2023:369, punktid 33 ja 34).
24      Vt 4. mai 2023. aasta kohtuotsus Österreichische Datenschutzbehörde ja CRIF (C‑487/21, EU:C:2023:369, punkt 41).
25      Vt 20. detsembri 2017. aasta kohtuotsus Nowak (C‑434/16, EU:C:2017:994, punkt 57); 12. jaanuari 2023. aasta kohtuotsus Österreichische Post (teave isikuandmete vastuvõtjate kohta) (C‑154/21, EU:C:2023:3, punkt 38) ja 4. mai 2023. aasta kohtuotsus Österreichische Datenschutzbehörde ja CRIF (C‑487/21, EU:C:2023:369, punkt 35).
26      Zanfir-Fortuna, G., „Article 15. Right of access by the data subject“, väljaandes Kuner, C., Bygrave, L. A. ja Docksey, C. (ed.), The EU General Data Protection Regulation (GDPR): A Commentary, Oxford 2020, lk 452, rõhutab, et on vaja teha vahet IKÜMi artikliga 15 antud õigusel tutvuda omaenda isikuandmetega ja õigusel saada avalikku teavet. Need kaks õigust põhinevad eri seadusandlikel eesmärkidel: esimesega soovitakse tagada läbipaistvus selle isiku jaoks, kelle andmeid vastutav töötleja kogub ja töötleb (läbipaistvus inter partes), samas kui teisega püütakse tagada läbipaistvus üldsuse ees ning see puudutab teavet, millel on avalik väärtus või mis pakub üldsusele huvi (läbipaistvus erga omnes).
27      Gumzej, N., „DPA powers toward effective and transparent GDPR enforcement: the case of Croatia“, Juridical Tribune – Review of Comparative and International Law, vol. 13, nr 2 (2023), lk 210, viitab kehtivatele seadustele teabe saamise vabaduse kohta.
28      Schemmer, F., „Der Auskunftsanspruch der DS-GVO – Umfang des datenschutzrechtlichen Auskunftsanspruchs gem. Art. 15 DS-GVO und dessen Grenzen“, Zeitschrift für das gesamte Informationsrecht, 2024, nr 5, lk 210.
29      Vt 6. märtsi 2007. aasta kohtuotsus Placanica jt (C‑338/04, C‑359/04 ja C‑360/04, EU:C:2007:133, punkt 34) ja 21. juuni 2022. aasta kohtuotsus Ligue des droits humains (C‑817/19, EU:C:2022:491, punkt 240).
30      Vt 25. oktoobri 2001. aasta kohtuotsus Ambulanz Glöckner (C‑475/99, EU:C:2001:577, punkt 10) ja 14. novembri 2024. aasta
kohtuotsus S. (kohtukoosseisus muudatuste tegemine) (C‑197/23, EU:C:2024:956, punkt 43).
31      Vt 16. juuli 2020. aasta kohtuotsus Facebook Ireland ja Schrems (C‑311/18, EU:C:2020:559, punkt 172); 12. jaanuari 2023. aasta kohtuotsus Österreichische Post (teave isikuandmete vastuvõtjate kohta) (C‑154/21, EU:C:2023:3, punkt 47) ja 21. märtsi 2024. aasta kohtuotsus Landeshauptstadt Wiesbaden (C‑61/22, EU:C:2024:251, punkt 75).
32      Giurgiu, A., ja Larsen, T., „Roles and Powers of National Data Protection Authorities – Moving from Directive 95/46/EC to the GDPR: Stronger and More „European DPAs as Guardians of Consistency?“, European Data Protection Law Review, nr 3, 2016, lk 352, peavad järelevalveasutusi põhilisteks üksikisikute õiguste tagajateks, kuna neil on IKÜMis sätestatud andmekaitsenormide järelevalves ja kohaldamises keskne roll. Nad rõhutavad, kui oluline on anda neile asutustele piisavad vahendid nii personali kui ka rahaliste vahendite näol, et nad saaksid oma ülesandeid tõhusalt täita.
33      Vt 9. jaanuari 2025. aasta kohtuotsus Österreichische Datenschutzbehörde (ülemäärased taotlused) (C‑416/23, EU:C:2025:3, punkt 40).
34      Vt 1. augusti 2022. aasta kohtuotsus Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, punkt 85).
35      Vt 24. veebruari 2022. aasta kohtuotsus Valsts ieņēmumu dienests (isikuandmete töötlemine maksustamise eesmärgil) (C‑175/20, EU:C:2022:124, punkt 56).
36      Vt selle kohta Euroopa Andmekaitsenõukogu 13. oktoobril 2021 vastu võetud Guidelines 10/2020 on restrictions under Article 23 GDPR (versioon 2.1)__ punktid 65–67 ja 82, milles soovitatakse selleks, et haldusuurimist mitte ohustada, andmesubjektide teatavate õiguste teostamist ajutiselt piirata.
37      Vt 8. aprilli 2014. aasta kohtuotsus Digital Rights Ireland jt (C‑293/12 ja C‑594/12, EU:C:2014:238, punkt 38); 6. oktoobri 2015. aasta kohtuotsus Schrems (C‑362/14, EU:C:2015:650, punkt 94); 16. juuli 2020. aasta kohtuotsus Facebook Ireland ja Schrems (C‑311/18, EU:C:2020:559, punkt 174) ning 6. oktoobri 2020. aasta kohtuotsus La Quadrature du Net jt (C‑511/18, C‑512/18 ja C‑520/18, EU:C:2020:791, punkt 121).
38      Euroopa Kohus on seda eesmärki oma väljakujunenud kohtupraktikas maininud ning rõhutanud, et isikuandmete kaitse on tagatud nii ELTL artikliga 16 kui ka harta artikliga 8, niisiis on see õigus ette nähtud kahes liidu esmases õigusnormis (vt 12. jaanuari 2023. aasta kohtuotsus Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, punkt 43).
39      Vt 22. juuni 2023. aasta kohtuotsus Pankki S (C‑579/21, EU:C:2023:501, punkt 53 jj).
40      Vt 4. mai 2023. aasta kohtuotsus Österreichische Datenschutzbehörde ja CRIF (C‑487/21, EU:C:2023:369, punkt 44).
41      Vt käesoleva ettepaneku punkt 59 jj.
42      Vt 12. jaanuari 2023. aasta kohtuotsus Österreichische Post (teave isikuandmete vastuvõtjate kohta) (C‑154/21, EU:C:2023:3, punkt 49). Nagu Euroopa Kohus on rõhutanud, lasub vastutaval töötlejal kohustus tõendada, et andmetega tutvumise taotlus on IKÜMi artikli 12 lõike 5 tähenduses selgelt põhjendamatu või ülemäärane.
43      Vt selle kohta Euroopa Liidu Põhiõiguste Amet (FRA), „GDPR in practice – Experiences of Data Protection Authorities“, Luxembourg, 11.6.2024, lk 21, milles kirjeldatakse vahendeid, mis on järelevalveasutuste käsutuses aastate jooksul olnud, kui „üldiselt ebapiisavaid“. Kui komisjon oli andnud esimese hinnangu IKÜMi kohaldamisele, võttis Euroopa Parlament vastu resolutsiooni, milles kutsuti liikmesriike üles täitma IKÜMi artikli 52 lõikes 4 ette nähtud kohustust anda oma järelevalveasutustele piisavalt vahendeid, et nad saaksid oma ülesandeid võimalikult hästi täita, ja tagada, et IKÜMi kohaldamise tingimused oleksid Euroopa Liidus võrdsed.