62023CJ0416
UNIONIN TUOMIOISTUIMEN TUOMIO (ensimmäinen jaosto)
9 päivänä tammikuuta 2025 (
*1
)
Ennakkoratkaisupyyntö – Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus (EU) 2016/679 – 57 artiklan 1 kohdan f alakohta ja 4 kohta – Valvontaviranomaisen tehtävät – Käsitteet ”pyyntö” ja ”kohtuuttomat pyynnöt” – Kohtuullisen maksun periminen tai kieltäytyminen pyyntöjen käsittelystä, jos pyynnöt ovat ilmeisen perusteettomia tai kohtuuttomia – Valvontaviranomaisen valintaa ohjaavat perusteet – 77 artiklan 1 kohta – Käsite ”kantelu”
Asiassa C‑416/23,
jossa on kyse SEUT 267 artiklaan perustuvasta ennakkoratkaisupyynnöstä, jonka Verwaltungsgerichtshof (ylin hallintotuomioistuin, Itävalta) on esittänyt 27.6.2023 tekemällään päätöksellä, joka on saapunut unionin tuomioistuimeen 6.7.2023, saadakseen ennakkoratkaisun asiassa
Österreichische Datenschutzbehörde
vastaan
F R,
jossa asian käsittelyyn osallistuu
Bundesministerin für Justiz,
UNIONIN TUOMIOISTUIN (ensimmäinen jaosto),
toimien kokoonpanossa: T. von Danwitz, unionin tuomioistuimen varapresidentti, joka hoitaa ensimmäisen jaoston puheenjohtajan tehtäviä, sekä tuomarit A. Kumin ja I. Ziemele (esittelevä tuomari),
julkisasiamies: J. Richard de la Tour,
kirjaaja: A. Calot Escobar,
ottaen huomioon kirjallisessa käsittelyssä esitetyn,
ottaen huomioon huomautukset, jotka sille ovat esittäneet
–
Österreichische Datenschutzbehörde, asiamiehenään M. Schmidl,
–
F R, edustajanaan C. Wirthensohn, Rechtsanwalt,
–
Bundesministerin für Justiz, asiamiehenään E. Riedl,
–
Itävallan hallitus, asiamiehinään A. Posch, J. Schmoll ja C. Gabauer,
–
Tšekin hallitus, asiamiehinään M. Smolek T. Suchá ja J. Vláčil,
–
Euroopan komissio, asiamiehinään A. Bouchagiar, F. Erlbacher ja H. Kranenborg,
kuultuaan julkisasiamiehen 5.9.2024 pidetyssä istunnossa esittämän ratkaisuehdotuksen,
on antanut seuraavan
tuomion
1
Ennakkoratkaisupyyntö koskee luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) (EUVL 2016, L 119, s. 1) 57 artiklan 4 kohdan ja 77 artiklan 1 kohdan tulkintaa.
2
Tämä pyyntö on esitetty asiassa, jossa vastakkain ovat luonnollinen henkilö F R ja Österreichische Datenschutzbehörde (tietosuojaviranomainen, Itävalta; jäljempänä tietosuojaviranomainen) ja jossa on kyse siitä, että tietosuojaviranomainen on kieltäytynyt käsittelemästä kantelua, jonka mukaan F R:n oikeutta tutustua häntä koskeviin henkilötietoihin on loukattu.
Asiaa koskevat oikeussäännöt
Unionin oikeus
3
Yleisen tietosuoja-asetuksen johdanto-osan 10, 11, 59, 63 ja 129 perustelukappaleessa todetaan seuraavaa:
”(10)
Jotta voitaisiin varmistaa yhdenmukainen ja korkeatasoinen luonnollisten henkilöiden suojelu ja poistaa henkilötietojen liikkuvuuden esteet [Euroopan] unionissa, luonnollisten henkilöiden oikeuksien ja vapauksien suojelun tason näiden tietojen käsittelyssä olisi oltava vastaava kaikissa jäsenvaltioissa. Luonnollisten henkilöiden perusoikeuksien ja ‑vapauksien suojelua henkilötietojen käsittelyssä koskevien sääntöjen johdonmukainen ja yhtenäinen soveltaminen olisi varmistettava kaikkialla unionissa. – –
(11)
Henkilötietojen suojaaminen tehokkaasti kaikkialla unionissa edellyttää rekisteröityjen oikeuksien sekä henkilötietoja käsittelevien ja henkilötietojen käsittelyä määrittävien velvollisuuksien vahvistamista ja täsmentämistä – –.
– –
(59)
Olisi säädettävä yksityiskohtaisesti siitä, miten tähän asetukseen perustuvien rekisteröidyn oikeuksien käyttämistä voitaisiin helpottaa, mukaan lukien mekanismit, joilla rekisteröity voi erityisesti pyytää oikeutta saada tutustua henkilötietoihin ja mahdollisuuksien mukaan saada ne maksutta, ja esittää henkilötietojen oikaisemista tai poistamista koskevan pyynnön sekä käyttää oikeuttaan vastustaa henkilötietojen käsittelyä. – –
– –
(63)
Rekisteröidyllä olisi oltava oikeus saada pääsy henkilötietoihin, joita hänestä on kerätty, sekä mahdollisuus käyttää tätä oikeutta vaivattomasti ja kohtuullisin väliajoin, jotta hän voi pysyä perillä käsittelyn lainmukaisuudesta ja tarkistaa sen. – – Jos rekisterinpitäjä käsittelee merkittäviä määriä rekisteröityä koskevia tietoja, rekisterinpitäjän olisi voitava pyytää rekisteröityä täsmentämään riittävällä tavalla ennen tietojen luovuttamista, mitä tietoja tai mitä käsittelytoimia rekisteröidyn pyyntö koskee.
– –
(129)
– – Valvontaviranomaisten valtuuksia olisi käytettävä unionin oikeudessa ja jäsenvaltioiden lainsäädännössä vahvistettujen asianmukaisten menettelytakeiden mukaisesti puolueettomasti, asianmukaisesti ja kohtuullisessa ajassa. Jokaisen toimenpiteen olisi erityisesti oltava tarkoituksenmukainen, tarpeellinen ja oikeasuhteinen, jotta voidaan varmistaa tämän asetuksen noudattaminen siten, että otetaan huomioon kunkin yksittäisen tapauksen olosuhteet, kunnioitetaan jokaisen henkilön oikeutta tulla kuulluksi ennen kuin ryhdytään yksittäiseen toimenpiteeseen, joka vaikuttaisi häneen epäedullisesti, ja vältetään aiheuttamasta asianomaisille henkilöille tarpeettomia kustannuksia ja liiallisia haittoja. – –”
4
Yleisen tietosuoja-asetuksen 12 artiklan, jonka otsikko on ”Läpinäkyvä informointi, viestintä ja yksityiskohtaiset säännöt rekisteröidyn oikeuksien käyttöä varten”, 2 ja 5 kohdassa säädetään seuraavaa:
”2.   Rekisterinpitäjän on helpotettava 15–22 artiklan mukaisten rekisteröidyn oikeuksien käyttämistä. Edellä 11 artiklan 2 kohdassa tarkoitetuissa tapauksissa rekisterinpitäjä ei saa kieltäytyä toimimasta rekisteröidyn pyynnöstä tämän 15–22 artiklan mukaisten oikeuksien käyttämiseksi, ellei rekisterinpitäjä osoita, ettei se pysty tunnistamaan rekisteröityä.
– –
5.   Jäljempänä olevan 13 ja 14 artiklan nojalla toimitetut tiedot ja kaikki 15–22 ja 34 artiklaan perustuvat tiedot ja toimenpiteet ovat maksuttomia. Jos rekisteröidyn pyynnöt ovat ilmeisen perusteettomia tai kohtuuttomia, erityisesti jos niitä esitetään toistuvasti, rekisterinpitäjä voi joko
a)
periä kohtuullisen maksun ottaen huomioon tietojen tai viestien toimittamisesta tai pyydetyn toimenpiteen toteuttamisesta aiheutuvat hallinnolliset kustannukset; tai
b)
kieltäytyä suorittamasta pyydettyä toimea.
Näissä tapauksissa rekisterinpitäjän on osoitettava pyynnön ilmeinen perusteettomuus tai kohtuuttomuus.”
5
Yleisen tietosuoja-asetuksen 15 artiklan, jonka otsikko on ”Rekisteröidyn oikeus saada tutustua tietoihin”, 1 kohdassa säädetään seuraavaa:
”Rekisteröidyllä on oikeus saada rekisterinpitäjältä vahvistus siitä, käsitelläänkö häntä koskevia henkilötietoja, ja jos näitä henkilötietoja käsitellään, oikeus saada tutustua henkilötietoihin sekä saada seuraavat tiedot:
a)
käsittelyn tarkoitukset;
– –
c)
vastaanottajat tai vastaanottajaryhmät – –, joille henkilötietoja on luovutettu tai on tarkoitus luovuttaa;
– –”
6
Yleisen tietosuoja-asetuksen 52 artiklan, jonka otsikko on ”Riippumattomuus”, 4 kohdassa säädetään seuraavaa:
”Kunkin jäsenvaltion on varmistettava, että jokaiselle valvontaviranomaiselle osoitetaan tekniset, taloudelliset ja henkilöresurssit, tilat ja infrastruktuuri, jotka ovat tarpeen tehtävien suorittamiseksi ja valtuuksien käyttämiseksi tehokkaasti, mukaan lukien tehtävät ja valtuudet, jotka liittyvät keskinäiseen avunantoon, yhteistyöhön ja osallistumiseen tietosuojaneuvoston toimintaan.”
7
Yleisen tietosuoja-asetuksen 57 artiklassa, jonka otsikko on ”Tehtävät”, säädetään seuraavaa:
”1.   Tämän asetuksen mukaisesti vahvistettuja muita tehtäviä rajoittamatta jokaisen valvontaviranomaisen on alueellaan
a)
valvottava tämän asetuksen soveltamista ja täytäntöönpanoa;
– –
e)
annettava pyynnöstä rekisteröidyille tietoja niille tämän asetuksen mukaan kuuluvien oikeuksien käytöstä ja tarvittaessa tehtävä yhteistyötä muiden jäsenvaltioiden viranomaisten kanssa tätä tarkoitusta varten;
f)
käsiteltävä rekisteröidyn tai 80 artiklan mukaisen elimen, järjestön tai yhdistyksen tekemiä [kanteluja] ja tutkittava siinä määrin kuin se on asianmukaista [kantelun] kohdetta ja ilmoitettava [kantelun] tekijälle tutkinnan etenemisestä sekä tutkinnan tuloksista kohtuullisen ajan kuluessa, erityisesti jos asia edellyttää lisätutkimuksia tai koordinointia toisen valvontaviranomaisen kanssa;
– –
2.   Kaikkien valvontaviranomaisten on helpotettava 1 kohdan f alakohdassa tarkoitettujen [kantelujen] jättämistä toimenpitein, kuten antamalla mahdollisuuden käyttää [kantelulomaketta], joka voidaan täyttää myös sähköisesti, muita mahdollisia viestintäkeinoja pois sulkematta.
3.   Minkään valvontaviranomaisten tehtävien suorittamisesta ei aiheudu kustannuksia rekisteröidylle eikä tapauksen mukaan tietosuojavastaavalle.
4.   Jos pyynnöt ovat ilmeisen perusteettomia tai kohtuuttomia, erityisesti siitä syystä, että niitä esitetään toistuvasti, valvontaviranomainen voi periä niistä hallinnollisiin kustannuksiin perustuvan kohtuullisen maksun tai kieltäytyä suorittamasta pyydettyä toimea. Valvontaviranomaisen on osoitettava pyynnön ilmeinen perusteettomuus tai kohtuuttomuus.”
8
Tietosuoja-asetuksen 77 artiklan, jonka otsikko on ”Oikeus tehdä kantelu valvontaviranomaiselle”, 1 kohdassa säädetään seuraavaa:
”Jokaisella rekisteröidyllä on oikeus tehdä kantelu valvontaviranomaiselle, erityisesti siinä jäsenvaltiossa, jossa hänen vakinainen asuinpaikkansa tai työpaikkansa on taikka jossa väitetty rikkominen on tapahtunut, jos rekisteröity katsoo, että häntä koskevien henkilötietojen käsittelyssä rikotaan tätä asetusta, sanotun kuitenkaan rajoittamatta muita hallinnollisia muutoksenhakukeinoja tai oikeussuojakeinoja.”
Itävallan oikeus
9
Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä 17.8.1999 annetun liittovaltion lain (Bundesgesetz zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten; BGBl. I, 165/1999), sellaisena kuin sitä sovelletaan pääasian tosiseikkoihin, 24 §:n, jonka otsikko on ”Tietosuojaviranomaiselle tehdyt kantelut”, 1, 5 ja 8 momentissa säädetään seuraavaa:
”(1)   Jokaisella rekisteröidyllä on oikeus tehdä kantelu Datenschutzbehördelle, jos rekisteröity katsoo, että häntä koskevien henkilötietojen käsittelyssä rikotaan yleistä tietosuoja-asetusta taikka 1 §:ää tai 2 artiklaan sisältyvää ensimmäistä pääosastoa.
– –
(5)   Mikäli kantelu osoittautuu perustelluksi, se on hyväksyttävä. Jos on katsottava, että rikkominen johtuu yksityisestä rekisterinpitäjästä, on annettava sen tehtäväksi vastata kantelijan pyyntöihin, jotka koskevat tietoja, oikaisuja, rekisteristä poistamista, rajoituksia tai tiedonsiirtoa, siinä laajuudessa kuin on tarpeen todetun oikeuksien loukkauksen korjaamiseksi. Mikäli kantelu ei osoittaudu perustelluksi, se on hylättävä.
– –
(8)   Rekisteröity voi saattaa asian hallintotuomioistuimen käsiteltäväksi, jos tietosuojaviranomainen ei käsittele kantelua tai ei ilmoita rekisteröidylle kantelun etenemisestä tai ratkaisusta kolmen kuukauden määräajassa.”
Pääasia ja ennakkoratkaisukysymykset
10
F R teki 17.2.2020 tietosuojaviranomaiselle yleisen tietosuoja-asetuksen 77 artiklan 1 kohdan mukaisen kantelun saman asetuksen 15 artiklan loukkaamisesta sillä perusteella, että rekisterinpitäjänä oleva yhtiö ei vastannut hänen tiedonsaantipyyntöönsä kuukauden kuluessa.
11
Tietosuojaviranomainen kieltäytyi 22.4.2020 tekemällään päätöksellä käsittelemästä kantelua yleisen tietosuoja-asetuksen 57 artiklan 4 kohdan nojalla pitäen sitä ”kohtuuttomana”. Se pani merkille etenkin, että F R oli tehnyt sille noin 20 kuukauden sisällä 77 samankaltaista kantelua eri rekisterinpitäjiä vastaan. F R oli ottanut tietosuojaviranomaiseen säännöllisesti yhteyttä myös puhelimitse ilmoittaakseen lisäseikkoja ja tehdäkseen mahdollisia muita pyyntöjä.
12
F R valitti päätöksestä Bundesverwaltungsgerichtiin (liittovaltion hallintotuomioistuin, Itävalta).
13
Kyseinen tuomioistuin hyväksyi valituksen 22.12.2022 antamallaan tuomiolla ja kumosi tietosuojaviranomaisen päätöksen. Mainittu tuomioistuin totesi pääasiallisesti, että pyynnön kohtuuttomana pitäminen yleisen tietosuoja-asetuksen 57 artiklan 4 kohdassa tarkoitetussa merkityksessä edellyttää paitsi pyyntöjen toistuvuutta myös sitä, että niitä esitetään ilmeisessä kiusanteko- tai väärinkäyttötarkoituksessa. Tietosuojaviranomaisen perustelusta kieltäytyä F R:n kantelun käsittelystä ei kuitenkaan ilmene, että F R olisi menetellyt väärinkäyttötarkoituksessa. Saman tuomioistuimen mukaan kohtuuttomia pyyntöjä saadessaan tietosuojaviranomainen ei myöskään voi valita mielensä mukaan tässä säännöksessä säädettyjen kahden vaihtoehdon välillä eli kohtuullisen maksun perimisen tai pyyntöjen käsittelystä kieltäytymisen välillä. Valinta näiden vaihtoehtojen välillä kuuluu vapaaseen harkintaan, jonka käyttö tietosuojaviranomaisen on perusteltava. Tällaista perustelua ei ole kuitenkaan tässä asiassa esitetty.
14
Tietosuojaviranomaisen tehtyä tästä tuomiosta Revision-valituksen Verwaltungsgerichtshof (ylin hallintotuomioistuin, Itävalta), joka on ennakkoratkaisua pyytänyt tuomioistuin, tiedustelee ensinnäkin, kattaako yleisen tietosuoja-asetuksen 57 artiklan 4 kohdassa tarkoitetun ”pyynnön” käsite saman asetuksen 77 artiklan 1 kohdan nojalla tehdyt kantelut.
15
Ennakkoratkaisua pyytänyt tuomioistuin toteaa tältä osin, että ”pyynnön” käsitettä tosin käytetään yleisen tietosuoja-asetuksen 57 artiklan 1 kohdassa olevassa valvontaviranomaisten tehtävien luettelossa yksinomaan sen e alakohdassa kuvaamaan rekisteröityjen näille viranomaisille osoittamia tiedonsaantipyyntöjä, jotka koskevat tässä asetuksessa heille annettujen oikeuksien käyttämistä. Tästä ei kuitenkaan voida päätellä, että mainitun asetuksen 57 artiklan 4 kohtaa voitaisiin soveltaa ainoastaan tällaisten pyyntöjen käsittelyyn. Päinvastoin, viimeksi mainitun säännöksen, jossa säädetään poikkeuksesta maksuttomuuden periaatteeseen, asiayhteydestä voidaan pikemminkin päätellä, että siinä tarkoitettu käsite ”pyyntö” kattaa myös kantelut, koska niiden käsittely on valvontaviranomaisten päätehtävä ja koska nämä viranomaiset on tarpeen vapauttaa ilmeisen perusteettomien tai kohtuuttomien kantelujen käsittelystä.
16
Ennakkoratkaisua pyytäneen tuomioistuimen mukaan tällaisesta tulkinnasta kuitenkin seuraisi, että valvontaviranomaisille yleisen tietosuoja-asetuksen 57 artiklan 1 kohdan f alakohdan nojalla kuuluvaa velvollisuutta käsitellä kanteluja rajoitettaisiin, ja se voisi olla ristiriidassa kyseisen asetuksen tavoitteiden kanssa, erityisesti sen tavoitteen kanssa, joka koskee luonnollisten henkilöiden korkeatasoisen suojelun varmistamista henkilötietojen käsittelyssä unionissa.
17
Ennakkoratkaisua pyytänyt tuomioistuin katsoo kuitenkin, että jos tällainen tulkinta hyväksyttäisiin, yleisen tietosuoja-asetuksen 57 artiklan 4 kohdassa kantelun tekemistä koskevalle oikeudelle asetettu rajoitus olisi oikeasuhteinen. Tämän säännöksen soveltaminen edellyttäisi nimittäin, että valvontaviranomainen esittää näytön kantelun ilmeisestä perusteettomuudesta tai kohtuuttomuudesta. Lisäksi kyseisen viranomaisen päätös periä kohtuullinen maksu tai kieltäytyä kantelun käsittelystä kuuluu asetuksen 78 artiklan 1 kohdassa tarkoitetun tuomioistuinvalvonnan piiriin.
18
Toiseksi siinä tapauksessa, että yleisen tietosuoja-asetuksen 57 artiklan 4 kohtaa olisi tulkittava siten, että sitä sovelletaan kyseisen asetuksen 77 artiklan 1 kohdassa tarkoitettuihin kanteluihin, ennakkoratkaisua pyytänyt tuomioistuin pohtii mainitun asetuksen 57 artiklan 4 kohdassa tarkoitetun käsitteen ”kohtuuton pyyntö” ulottuvuutta. Tuomioistuin toteaa erityisesti, että vaikka kyseisessä säännöksessä mainitaan nimenomaisesti esimerkkinä ”kohtuuttomista pyynnöistä””toistuvat pyynnöt”, on kuitenkin niin, että poikkeuksena jokaisen valvontaviranomaisen velvollisuudesta käsitellä kanteluita mahdollisuutta kieltäytyä käsittelemästä kantelua on tulkittava suppeasti, koska tämä mahdollisuus heikentää merkittävästi yleisessä tietosuoja-asetuksessa luonnollisille henkilöille henkilötietojen käsittelyssä säädettyä suojaa ja poikkeaisi siten asetuksen tavoitteista.
19
Ennakkoratkaisua pyytänyt tuomioistuin pyrkii tässä yhteydessä selvittämään, riittääkö valvontaviranomaiselle tiettynä ajanjaksona tehtyjen kantelujen lukumäärä sen toteamiseen, että kantelu on kohtuuton, kullekin yksittäiselle kantelulle ominaisista olosuhteista riippumatta ja ottamatta huomioon rekisterinpitäjiä, joita kantelut koskevat, vai onko otettava huomioon muita seikkoja, joiden perusteella voitaisiin todeta, että on kyse väärinkäytöstä.
20
Kolmanneksi ennakkoratkaisua pyytänyt tuomioistuin katsoo, että yleisen tietosuoja-asetuksen 57 artiklan 4 kohdan soveltaminen herättää kysymyksiä myös niiden oikeudellisten seurausten osalta, joita ilmeisen perusteettomiin tai kohtuuttomiin pyyntöihin on liitettävä. Kyseisen säännöksen sanamuodosta ei nimittäin ilmene selvästi, voivatko valvontaviranomaiset valita vapaasti jommankumman siinä säädetyistä vaihtoehdoista eli periä kohtuullisen maksun kantelun käsittelystä tai kieltäytyä heti käsittelemästä kantelua. Ennakkoratkaisua pyytänyt tuomioistuin korostaa, että oikeuskirjallisuudessa on tältä osin erimielisyyttä.
21
Tässä tilanteessa Verwaltungsgerichtshof on päättänyt lykätä asian käsittelyä ja esittää unionin tuomioistuimelle seuraavat ennakkoratkaisukysymykset:
”1)
Onko [yleisen tietosuoja-asetuksen] 57 artiklan 4 kohdassa tarkoitettua käsitettä ’pyynnöt’ tai ’pyyntö’ tulkittava siten, että sillä on ymmärrettävä tarkoitettavan myös yleisen tietosuoja-asetuksen 77 artiklan 1 kohdassa tarkoitettuja ’kanteluita’?
Mikäli ensimmäiseen kysymykseen vastataan myöntävästi:
2)
Onko yleisen tietosuoja-asetuksen 57 artiklan 4 kohtaa tulkittava siten, että siihen, että kyseessä ovat ’kohtuuttomat pyynnöt’, riittää jo se, että rekisteröity on tietyn ajanjakson aikana vain esittänyt tietyn määrän pyyntöjä (yleisen tietosuoja-asetuksen 77 artiklan 1 kohdassa tarkoitettuja kanteluja) valvontaviranomaiselle, riippumatta siitä, ovatko kyseessä erilaiset asiayhteydet ja/tai koskevatko pyynnöt (kantelut) eri rekisterinpitäjiä, vai edellytetäänkö sen lisäksi, että pyyntöjä (kanteluja) on esitetty toistuvasti, myös oikeuden väärinkäyttötarkoitusta rekisteröidyn taholta?
3)
Onko yleisen tietosuoja-asetuksen 57 artiklan 4 kohtaa tulkittava siten, että kun kyseessä on ’ilmeisen perusteeton’ tai ’kohtuuton’ pyyntö (kantelu), valvontaviranomainen voi valita vapaasti, periikö se kohtuullisen maksun sen käsittelystä aiheutuneiden hallinnollisten kustannusten perusteella vai kieltäytyykö se heti sen käsittelystä; mikäli tähän vastataan kieltävästi, mitä seikkoja ja mitä perusteita valvontaviranomaisen on otettava huomioon, ja erityisesti, onko valvontaviranomainen velvollinen perimään ensisijaisesti lievempänä keinona kohtuullisen maksun, ja onko sillä vasta siinä tapauksessa, että maksun perimisestä ei ole apua ilmeisen perusteettomien tai kohtuuttomien pyyntöjen (kantelujen) välttämisessä, oikeus kieltäytyä niiden käsittelemisestä?”
Ennakkoratkaisukysymysten tarkastelu
Ensimmäinen kysymys
22
Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee ensimmäisellä kysymyksellään, onko yleisen tietosuoja-asetuksen 57 artiklan 4 kohtaa tulkittava siten, että siihen sisältyvä pyynnön käsite kattaa kyseisen asetuksen 77 artiklan 1 kohdassa tarkoitetut kantelut.
23
Aluksi on todettava, että kantelun käsite sisältyy myös yleisen tietosuoja-asetuksen 57 artiklan 1 kohdan f alakohtaan. Jotta ennakkoratkaisua pyytäneelle tuomioistuimelle voidaan antaa hyödyllinen vastaus, on näin ollen katsottava, että kyseinen tuomioistuin tiedustelee ensimmäisellä kysymyksellään lähinnä, onko kyseisen asetuksen 57 artiklan 4 kohtaa tulkittava siten, että siihen sisältyvä pyynnön käsite kattaa mainitun asetuksen 57 artiklan 1 kohdan f alakohdassa ja 77 artiklan 1 kohdassa tarkoitetut kantelut.
24
Unionin oikeuden säännöksen tai määräyksen tulkitsemisessa on otettava huomioon paitsi sen sanamuoto sen tavanomaisen merkityksen mukaisesti, joka sillä on yleiskielessä, myös sen asiayhteys ja sillä lainsäädännöllä tavoitellut päämäärät, jonka osa se on (tuomio 4.5.2023, Österreichische Datenschutzbehörde ja CRIF, C‑487/21, EU:C:2023:369, 19 kohta oikeuskäytäntöviittauksineen, tuomio 7.12.2023, SCHUFA Holding (Jäännösveloista vapauttaminen), C‑26/22 ja C‑64/22, EU:C:2023:958, 48 kohta oikeuskäytäntöviittauksineen ja tuomio 30.4.2024, Trade Express-L ja DEVNIA TSIMENT, C‑395/22 ja C‑428/22, EU:C:2024:374, 65 kohta oikeuskäytäntöviittauksineen).
25
Ensinnäkin yleisen tietosuoja-asetuksen 57 artiklan 1 kohdan f alakohdan sanamuodosta on todettava, että siinä säädetään, että jokaisen valvontaviranomaisen on alueellaan ”käsiteltävä rekisteröidyn – –tekemiä [kanteluja] ja tutkittava siinä määrin kuin se on asianmukaista [kantelun] kohdetta ja ilmoitettava [kantelun] tekijälle tutkinnan etenemisestä sekä tutkinnan tuloksista kohtuullisen ajan kuluessa, erityisesti jos asia edellyttää lisätutkimuksia tai koordinointia toisen valvontaviranomaisen kanssa”.
26
Yleisen tietosuoja-asetuksen 57 artiklan 4 kohdassa puolestaan säädetään, että ”jos pyynnöt ovat ilmeisen perusteettomia tai kohtuuttomia, erityisesti siitä syystä, että niitä esitetään toistuvasti, valvontaviranomainen voi periä niistä hallinnollisiin kustannuksiin perustuvan kohtuullisen maksun tai kieltäytyä suorittamasta pyydettyä toimea” ja että ”valvontaviranomaisen on osoitettava pyynnön ilmeinen perusteettomuus tai kohtuuttomuus”.
27
Yleisen tietosuoja-asetuksen 77 artiklan 1 kohdassa puolestaan säädetään, että ”jokaisella rekisteröidyllä on oikeus tehdä kantelu valvontaviranomaiselle, erityisesti siinä jäsenvaltiossa, jossa hänen vakinainen asuinpaikkansa tai työpaikkansa on taikka jossa väitetty rikkominen on tapahtunut, jos rekisteröity katsoo, että häntä koskevien henkilötietojen käsittelyssä rikotaan tätä asetusta, sanotun kuitenkaan rajoittamatta muita hallinnollisia muutoksenhakukeinoja tai oikeussuojakeinoja”.
28
Näin ollen missään tämän tuomion 25–27 kohdassa mainituista säännöksistä ei määritellä nimenomaisesti yleisen tietosuoja-asetuksen 57 artiklan 4 kohdassa tarkoitettua pyynnön käsitettä.
29
Tältä osin on huomattava, että – kuten julkisasiamies on ratkaisuehdotuksensa 23 kohdassa todennut – käsite "pyyntö" on sen tavanomaisessa yleiskielisessä merkityksessä erityisen laaja, koska se pitää sisällään mahdollisesti kaikki henkilön tai yhteisön tekemät pyynnöt.
30
On siis todettava, että tämän tuomion 25–27 kohdassa tarkoitettujen säännösten sanamuodon perusteella voidaan katsoa, että yleisen tietosuoja-asetuksen 77 artiklan 1 kohdan nojalla tehdyt kantelut kuuluvat kyseisen asetuksen 57 artiklan 4 kohdassa tarkoitetun pyynnön käsitteen alaan.
31
Tätä sanamuotoon perustuvaa arviointia tukee toiseksi asiayhteys, johon kyseiset säännökset kuuluvat. Tältä osin yleisen tietosuoja-asetuksen 57 artiklassa kuvataan valvontaviranomaisille kuuluvat tehtävät ja vahvistetaan edellytykset, joiden täyttyessä ne on suoritettava. Niinpä on todettava erityisesti, että kyseisen 57 artiklassa säädetään ensiksi sen 1 kohdan a alakohdassa, että jokaisen valvontaviranomaisen on valvottava tämän asetuksen soveltamista ja täytäntöönpanoa, toiseksi sen 1 kohdan e alakohdassa, että jokaisen valvontaviranomaisen on annettava pyynnöstä rekisteröidyille tietoja niille kyseisen asetuksen mukaan kuuluvien oikeuksien käytöstä ja tarvittaessa tehtävä yhteistyötä muiden jäsenvaltioiden viranomaisten kanssa tätä tarkoitusta varten, ja kolmanneksi sen 2 kohdassa, että jokaisen valvontaviranomaisen on helpotettava 1 kohdan f alakohdassa tarkoitettujen kantelujen jättämistä toimenpitein, kuten antamalla mahdollisuuden käyttää kantelulomaketta, joka voidaan täyttää myös sähköisesti, muita mahdollisia viestintäkeinoja pois sulkematta.
32
Lisäksi yleisen tietosuoja-asetuksen 57 artiklan 3 kohdassa vahvistetaan periaate, jonka mukaan minkään valvontaviranomaisen tehtävien suorittamisesta ei aiheudu kustannuksia rekisteröidylle eikä tapauksen mukaan tietosuojavastaavalle.
33
Kun kyseisen asetuksen 57 artiklan 4 kohdassa säädetään siitä, että saadessaan ilmeisen perusteettomia tai kohtuuttomia pyyntöjä valvontaviranomaiset voivat periä hallinnollisiin kustannuksiin perustuvan kohtuullisen maksun tai kieltäytyä suorittamasta pyydettyä toimea, siinä otetaan näin ollen käyttöön poikkeus 57 artiklan 3 kohdassa säädetystä maksuttomuuden periaatteesta, jota on tulkittava suppeasti.
34
Kuten julkisasiamies on ratkaisuehdotuksensa 28–30 kohdassa pääasiallisesti todennut, koska pääsääntönä on, että valvontaviranomaiset käsittelevät niille esitetyt pyynnöt, näillä viranomaisilla olisi näin ollen oltava valtuudet käyttää yleisen tietosuoja-asetuksen 57 artiklan 4 kohdassa säädettyä mahdollisuutta vain poikkeustapauksissa.
35
Näistä säännöksistä ei kuitenkaan voida päätellä, että yleisen tietosuoja-asetuksen 57 artiklan 4 kohtaa, siltä osin kuin siinä käytetään pyynnön käsitettä, pitäisi soveltaa vain kyseisen asetuksen 57 artiklan 1 kohdan e alakohdassa tarkoitettuihin pyyntöihin. Mainitun asetuksen 57 artiklan 3 kohtaa sovelletaan nimittäin kaikkiin valvontaviranomaisen tehtäviin, mukaan lukien saman asetuksen 57 artiklan 1 kohdan f alakohdassa säädetty kantelujen käsittely.
36
Tässä yhteydessä on niin, että koska yleisen tietosuoja-asetuksen 57 artiklan 4 kohdassa säädetään poikkeuksesta valvontaviranomaisten suorittamien tehtävien maksuttomuuden periaatteeseen rajoittamatta sitä näiden valvontaviranomaisten tiettyihin erityistehtäviin, sitä olisi sovellettava myös kyseisen asetuksen 57 artiklan 1 kohdan f alakohdassa säädettyyn kantelujen käsittelyyn, varsinkin kun viimeksi mainittu tehtävä on mainittujen valvontaviranomaisten keskeinen tehtävä. Lisäksi asianomaisen valvontaviranomaisen asiana on tutkia tällaiset kantelut kaikkea asianmukaista huolellisuutta noudattaen (tuomio 7.12.2023, SCHUFA Holding (Jäännösveloista vapauttaminen), C‑26/22 ja C‑64/22, EU:C:2023:958, 56 kohta oikeuskäytäntöviittauksineen).
37
Sitä vastoin tulkinta, jonka mukaan yleisen tietosuoja-asetuksen 57 artiklan 4 kohtaan sisältyvä pyynnön käsite kattaa ainoastaan kyseisen asetuksen 57 artiklan 1 kohdan e alakohdan soveltamisalaan kuuluvat pyynnöt eikä mainitun asetuksen 57 artiklan 1 kohdan f alakohdassa ja 77 artiklan 1 kohdassa tarkoitettuja kanteluja, veisi suuren osan ensin mainitun säännöksen tehokkaasta vaikutuksesta ja olisi vastoin samalla asetuksella taattujen oikeuksien tosiasiallista suojaa (ks. vastaavasti tuomio 12.1.2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, 47 kohta).
38
Kolmanneksi tämä asiayhteyteen perustuva tulkinta on yleisen tietosuoja-asetuksen tavoitteiden mukainen. Tältä osin on todettava, että kyseisen asetuksen tarkoituksena on sen johdanto-osan 10 ja 11 perustelukappaleessa todetuin tavoin varmistaa yhdenmukainen ja korkeatasoinen luonnollisten henkilöiden suojelu unionissa sekä vahvistaa ja täsmentää rekisteröityjen oikeuksia (tuomio 26.10.2023, FT (Jäljennökset potilasasiakirjoista), C‑307/22, EU:C:2023:811, 47 kohta).
39
Kantelumenettely on näin ollen tarkoitettu mekanismiksi, jolla voidaan suojella tehokkaasti rekisteröityjen oikeuksia ja etuja (tuomio 7.12.2023, SCHUFA Holding (Jäännösveloista vapauttaminen), C‑26/22 ja C‑64/22, EU:C:2023:958, 58 kohta oikeuskäytäntöviittauksineen). Tältä osin yleisen tietosuoja-asetuksen 57 artiklan 2 ja 3 kohdassa säädetyn valvontaviranomaisten velvollisuuden helpottaa kantelujen jättämistä ja tehtävien, jotka niiden on suoritettava, maksuttomuuden periaatteen tarkoituksena on se, että jokainen rekisteröity voi vaatia valvontaviranomaiselta, että hänen tähän asetukseen perustuvia oikeuksiaan kunnioitetaan.
40
Kuten julkisasiamies totesi ratkaisuehdotuksensa 41 kohdassa, luonnollisten henkilöiden johdonmukaisen ja korkeatasoisen suojelun varmistamista unionissa koskevaan tavoitteeseen pääsy edellyttää valvontaviranomaisten toiminnan moitteettoman sujumisen varmistamista siten, ettei sitä vaikeuteta yleisen tietosuoja-asetuksen 57 artiklan 4 kohdassa tarkoitetuilla ilmeisen perusteettomilla tai kohtuuttomilla kanteluilla. Säännöksen turvin valvontaviranomaiset voivat hallinnoida kanteluja paremmin ja keventää niiden käsittelystä mahdollisesti aiheutuvaa työtaakkaansa. Tältä osin silloin, kun valvontaviranomaiselle tehdään ilmeisen perusteettomia tai kohtuuttomia kanteluja, mahdollisuus periä kohtuullinen maksu tai kieltäytyä tällaisten kantelujen käsittelystä on omiaan varmistamaan henkilötietojen suojan korkean tason.
41
Edellä esitetyn perusteella ensimmäiseen kysymykseen on vastattava, että yleisen tietosuoja-asetuksen 57 artiklan 4 kohtaa on tulkittava siten, että siihen sisältyvä käsite ”pyyntö” kattaa kyseisen asetuksen 57 artiklan 1 kohdan f alakohdassa ja 77 artiklan 1 kohdassa tarkoitetut kantelut.
Toinen kysymys
42
Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee toisella kysymyksellään lähinnä, onko yleisen tietosuoja-asetuksen 57 artiklan 4 kohtaa tulkittava siten, että pelkästään pyyntöjen suuri määrä voi riittää pitämään niitä ”kohtuuttomina” kyseisessä säännöksessä tarkoitetussa merkityksessä, vai edellyttääkö tällainen luonnehdinta lisäksi, että pyynnöt esittäneellä henkilöllä on ollut väärinkäyttötarkoitus.
43
Tältä osin on ensinnäkin todettava, että koska käsitettä ”kohtuuttomat pyynnöt” ei määritellä yleisessä tietosuoja-asetuksessa, tämän tuomion 24 kohdassa mainitun oikeuskäytännön valossa on syytä viitata käsitteen tavanomaiseen yleiskieliseen merkitykseen. Adjektiivilla ”kohtuuton” tarkoitetaan tavanomaisen tai kohtuullisen mittasuhteen ylittävää tai toivottavan tai sallitun mittasuhteen ylittävää.
44
Toiseksi yleisen tietosuoja-asetuksen 57 artiklan 4 kohdan sanamuodosta ilmenee, että pyynnöt voivat olla ”kohtuuttomia” erityisesti siitä syystä, että niitä esitetään toistuvasti. Tämän säännöksen sananmukaisen tulkinnan perusteella ei kuitenkaan voida määrittää, riittääkö tällainen toistuvuus ja näin ollen tehtyjen pyyntöjen pelkkä lukumäärä oikeuttamaan tällaisen luonnehdinnan. Kun otetaan huomioon tämä oikeuskäytäntö, mainitun säännöksen ulottuvuutta on näin ollen tutkittava sen asiayhteyden, johon se kuuluu, ja niiden tavoitteiden mukaan, joihin pyritään asetuksella.
45
Tästä asiayhteydestä on ensiksi huomattava, että yleisen tietosuoja-asetuksen 12 artiklassa säädetään informoinnin ja viestinnän läpinäkyvyyttä koskevista rekisterinpitäjän yleisistä velvollisuuksista ja vahvistetaan rekisteröidyn oikeuksien käyttöä koskevat yksityiskohtaiset säännöt. Kyseisen artiklan 2 kohdan ensimmäisen virkkeen mukaan rekisterinpitäjän on helpotettava mainitun asetuksen 15–22 artiklan mukaisten rekisteröidyn oikeuksien käyttämistä.
46
Toiseksi yleisen tietosuoja-asetuksen III luvun 2 jaksoon, joka koskee tietojen toimittamista ja henkilötietoihin pääsyä, sisältyvä 15 artikla täydentää asetuksen läpinäkyvyyden puitteita antaessaan rekisteröidylle oikeuden päästä henkilötietoihinsa ja oikeuden saada tietoja henkilötietojensa käsittelystä.
47
Yleisen tietosuoja-asetuksen 15 artiklaa on luettava kyseisen asetuksen johdanto-osan 63 perustelukappaleen ensimmäisen virkkeen valossa, jonka mukaan rekisteröidyllä olisi oltava oikeus saada pääsy henkilötietoihin, joita hänestä on kerätty, sekä mahdollisuus käyttää tätä oikeutta vaivattomasti ja kohtuullisin väliajoin, jotta hän voi pysyä perillä käsittelyn lainmukaisuudesta ja tarkistaa sen. Jos rekisteröity on esittänyt useita tiedonsaantipyyntöjä yhdelle tai useammalle rekisterinpitäjälle saamatta tietoja, valvontaviranomaiselle tehtyjen kantelujen määrä voisi olla sama kuin näiden rekisterinpitäjien mainittuun henkilöön kohdistamien kieltäytymisten määrä. Näin ollen sellaisen absoluuttisen raja-arvon vahvistaminen, jonka ylittyessä mainittuja kanteluja voitaisiin automaattisesti pitää kohtuuttomina, voisi loukata mainitussa asetuksessa taattuja oikeuksia.
48
Kuten tämän tuomion 33, 34 ja 36 kohdassa on todettu, yleisen tietosuoja-asetuksen 57 artiklan 4 kohdassa säädetyn mahdollisuuden käyttämisen on siis oltava poikkeuksellista, koska se on poikkeus kyseisen asetuksen 57 artiklan 3 kohdassa säädetystä valvontaviranomaisten suorittamien tehtävien maksuttomuutta koskevasta periaatteesta (ks. analogisesti tuomio 5.4.2022, Commissioner of An Garda Síochána ym., C‑140/20, EU:C:2022:258, 40 kohta ja tuomio 8.11.2022, Deutsche Umwelthilfe (Moottoriajoneuvojen tyyppihyväksyntä), C‑873/19, EU:C:2022:857, 87 kohta oikeuskäytäntöviittauksineen). Sitä voidaan soveltaa vain, jos oikeutta on käytetty väärin (ks. analogisesti tuomio 26.10.2023, FT (Jäljennökset potilasasiakirjoista), C‑307/22, EU:C:2023:811, 31 kohta), eikä tehtyjen kantelujen määrä yksinään voi olla riittävä peruste tällaisen väärinkäytön toteamiseksi.
49
Yleisen tietosuoja-asetuksen 57 artiklan 4 kohta heijastaa nimittäin unionin tuomioistuimen vakiintunutta oikeuskäytäntöä, jonka mukaan unionin oikeudessa on yleinen oikeusperiaate, jonka mukaan yksityiset eivät saa vedota unionin oikeussääntöihin vilpillisesti tai väärinkäyttönä pidettävällä tavalla (tuomio 21.12.2023, BMW Bank ym., C‑38/21, C‑47/21 ja C‑232/21, EU:C:2023:1014, 281 kohta oikeuskäytäntöviittauksineen).
50
Kun kyseinen valvontaviranomainen aikoo tässä yhteydessä käyttää yleisen tietosuoja-asetuksen 57 artiklan 4 kohdan tarjoamaa mahdollisuutta, sen on kunkin tapauksen kaikki merkitykselliset olosuhteet huomioon ottaen osoitettava, että kyseisellä henkilöllä on väärinkäyttötarkoitus, eikä kyseisen henkilön tekemien kantelujen määrä yksinään ole riittävää. Väärinkäyttötarkoitus voidaan todeta silloin, kun henkilö tekee kanteluja ilman, että se on objektiivisesti tarpeen hänen kyseiseen asetukseen perustuvien oikeuksiensa suojaamiseksi.
51
Tältä osin on vielä muistutettava, että yleisen tietosuoja-asetuksen 52 artiklan 4 kohdan nojalla jäsenvaltioiden on varmistettava, että jokaiselle valvontaviranomaiselle osoitetaan tekniset, taloudelliset ja henkilöresurssit, tilat ja infrastruktuuri, jotka ovat tarpeen tehtävien suorittamiseksi ja valtuuksien käyttämiseksi tehokkaasti. Tämän vuoksi nämä resurssit on mukautettava siihen, miten rekisteröidyt käyttävät oikeuttaan tehdä kanteluja valvontaviranomaisille.
52
Näin ollen jäsenvaltioiden on annettava valvontaviranomaisille keinot, jotka on mukautettu kaikkien niiden käsiteltäväksi saatettujen kantelujen käsittelyyn, tarvittaessa lisäämällä näitä keinoja niiden mukauttamiseksi siihen, miten rekisteröidyt käyttävät oikeuttaan tehdä kanteluja yleisen tietosuoja-asetuksen 77 artiklan 1 kohdan nojalla. Valvontaviranomainen ei näin ollen voi kieltäytyä käsittelemästä kanteluja kyseisen asetuksen 57 artiklan 4 kohdan nojalla sillä perusteella, että henkilö, joka tekee kanteluja huomattavasti enemmän kuin kunkin rekisteröidyn keskimääräinen kantelujen määrä, käyttää merkittävällä tavalla kyseisen viranomaisen resursseja muiden henkilöiden tekemien kantelujen käsittelyn vahingoksi.
53
Lisäksi on niin, että – kuten julkisasiamies on todennut ratkaisuehdotuksensa 76 kohdassa – yleisen tietosuoja-asetuksen 77 artiklan 1 kohtaan perustuvilla kanteluilla on tärkeä osa siinä, että valvontaviranomaiset saavat tietää asetuksella suojattujen oikeuksien loukkauksista. Kanteluilla edistetään siten merkittävästi henkilöiden yhdenmukaisen ja korkeatasoisen suojelun varmistamista unionissa sekä rekisteröityjen oikeuksien vahvistamista ja täsmentämistä mainitun asetuksen johdanto-osan 10 ja 11 perustelukappaleessa tarkoitetulla tavalla.
54
Näin ollen se, että valvontaviranomaiset voisivat todeta kantelut kohtuuttomiksi pelkästään sillä perusteella, että niiden määrä on huomattava, vaarantaisi tämän tavoitteen saavuttamisen. Kantelujen suuri määrä voi nimittäin olla suora seuraus siitä, että yksi tai useampi rekisterinpitäjä on jättänyt vastaamatta henkilön oikeuksiensa suojelemiseksi esittämiin tietopyyntöihin tai kieltäytynyt vastaamasta niihin.
55
Kantelujen lukumäärän huomioon ottaminen asiayhteydestä irrotettuna voisi merkitä mielivaltaista puuttumista rekisteröidyn yleiseen tietosuoja-asetukseen perustuviin oikeuksiin, joten kyseisen asetuksen 57 artiklan 4 kohdassa tarkoitettuina kohtuuttomina pyyntöinä pitämisen edellytykseksi on asetettava se, että näytetään toteen kantelujen tekijän väärinkäyttötarkoitus.
56
Lukuisia kanteluita käsittelevän valvontaviranomaisen tehtävänä on siis osoittaa kullekin tapaukselle ominaisten seikkojen perusteella, ettei kantelujen määrä selity rekisteröidyn pyrkimyksellä saada suojaa yleisen tietosuoja-asetuksen perusteella hänelle kuuluville oikeuksille vaan jollakin muulla oikeussuojaan liittymättömällä päämäärällä. Tämä pätee etenkin silloin, kun asian olosuhteista käy ilmi, että lukuisilla kanteluilla on tarkoitus haitata valvontaviranomaisen toiminnan moitteetonta sujumista kuluttamalla tämän resursseja väärinkäyttötarkoituksessa.
57
Henkilön tekemien kantelujen runsaus voi olla osoitus kohtuuttomista pyynnöistä, jos näyttää, ettei kanteluja voida objektiivisesti perustella tälle henkilölle yleisen tietosuoja-asetuksen perusteella kuuluvien oikeuksien suojaan liittyvillä syillä. Tällainen tilanne voi olla esimerkiksi silloin, kun henkilö tekee valvontaviranomaiselle niin paljon kanteluita lukuisista eri rekisterinpitäjistä, joihin hänellä ei ole välttämättä yhteyttä, että tämänkaltaisesta kanteluoikeuden kohtuuttomasta käytöstä ilmenee yhdessä muiden seikkojen, kuten kantelujen sisällön ohella, hänen aikomuksensa lamaannuttaa valvontaviranomaisen työ lukuisilla pyynnöillään.
58
Esillä olevassa asiassa ennakkoratkaisua pyytäneen tuomioistuimen tehtävänä on selvittää, onko tietosuojaviranomainen osoittanut rekisteröidyn väärinkäyttötarkoituksen olemassaolon, eikä hänen kantelujensa lukumäärä voi yksistään oikeuttaa käyttämään yleisen tietosuoja-asetuksen 57 artiklan 4 kohdassa säädettyä mahdollisuutta.
59
Edellä esitetyn perusteella toiseen kysymykseen on vastattava, että yleisen tietosuoja-asetuksen 57 artiklan 4 kohtaa on tulkittava siten, että pyyntöjä ei voida pitää ”kohtuuttomina” kyseisessä säännöksessä tarkoitetussa merkityksessä yksistään tietyn ajanjakson kuluessa esitettyjen pyyntöjen määrän perusteella, koska mainitussa säännöksessä säädetyn mahdollisuuden käyttäminen edellyttää, että valvontaviranomainen osoittaa pyynnöt esittäneen henkilön väärinkäyttötarkoituksen.
Kolmas kysymys
60
Ennakkoratkaisua pyytänyt tuomioistuin kysyy kolmannella kysymyksellään pääasiallisesti, onko yleisen tietosuoja-asetuksen 57 artiklan 4 kohtaa tulkittava siten, että saadessaan kohtuuttomia pyyntöjä valvontaviranomainen voi valita vapaasti joko periä hallinnollisiin kustannuksiin perustuvan kohtuullisen maksun tai kieltäytyä pyyntöjen käsittelystä.
61
Ensiksi yleisen tietosuoja-asetuksen 57 artiklan 4 kohdan sanamuodosta on todettava, että siinä säädetyt kaksi vaihtoehtoa kohtuuttomien pyyntöjen varalta, nimittäin hallinnollisiin kustannuksiin perustuvan kohtuulliseen maksun periminen tai kieltäytyminen tällaisten pyyntöjen käsittelystä, mainitaan peräkkäin rinnastuskonjunktiolla ”tai” erotettuna, joten säännöksen sanamuodon perusteella ei voida päätellä vaihtoehtojen välistä etusijajärjestystä (ks. analogisesti tuomio 12.1.2023, Österreichische Post (Henkilötietojen vastaanottajiin liittyvät tiedot), C‑154/21, EU:C:2023:3, 31 kohta).
62
Näin ollen säännöksen sanamuoto näyttää tukevan tulkintaa, jonka mukaan valvontaviranomaisella on saamiensa pyyntöjen kohtuuttomuuden todettuaan vapaus valita jompikumpi näistä vaihtoehdoista.
63
Toiseksi yleisen tietosuoja-asetuksen 57 artiklan 4 kohdan asiayhteydestä on huomattava, että kyseisen asetuksen johdanto-osan 59 perustelukappaleessa todetaan, että ”olisi säädettävä yksityiskohtaisesti siitä, miten tähän asetukseen perustuvien rekisteröidyn oikeuksien käyttämistä voitaisiin helpottaa, mukaan lukien mekanismit, joilla rekisteröity voi erityisesti pyytää oikeutta saada tutustua henkilötietoihin ja mahdollisuuksien mukaan saada ne maksutta, ja esittää henkilötietojen oikaisemista tai poistamista koskevan pyynnön sekä käyttää oikeuttaan vastustaa henkilötietojen käsittelyä”. Tästä seuraa, että voidaan valita jompikumpi näistä kahdesta vaihtoehdosta, jos kanteluoikeuden tosiasiallinen käyttäminen joka tapauksessa varmistetaan.
64
Kolmanneksi tämän tuomion 62 kohdassa esitetty tulkinta on yleisen tietosuoja-asetuksen tavoitteiden mukainen.
65
Tässä yhteydessä on huomattava, että kyseisen asetuksen tarkoituksena on sen johdanto-osan 10 ja 11 perustelukappaleessa todetuin tavoin varmistaa yhdenmukainen ja korkeatasoinen luonnollisten henkilöiden suojelu unionissa sekä vahvistaa ja täsmentää rekisteröityjen oikeuksia (tuomio 26.10.2023, FT (Jäljennökset potilasasiakirjoista), C‑307/22, EU:C:2023:811, 47 kohta).
66
Lisäksi mainitun asetuksen johdanto-osan 129 perustelukappaleesta ilmenee, että valvontaviranomaisen on arvioitava tällaisen pyynnön ilmeistä perusteettomuutta tai kohtuuttomuutta puolueettomasti ja asianmukaisesti sekä varmistettava, että sen tekemä valinta on tarkoituksenmukainen, tarpeellinen ja oikeasuhteinen, kun otetaan huomioon asiaan liittyvät olosuhteet ja vältetään aiheuttamasta asianomaiselle henkilölle tarpeettomia kustannuksia ja liiallisia haittoja.
67
Kun otetaan huomioon kanteluoikeuden merkitys henkilötietojen suojan korkean tason varmistamista koskevan tavoitteen kannalta, kantelujen käsittelyn keskeinen asema valvontaviranomaisille osoitetuissa tehtävissä sekä valvontaviranomaisten velvollisuus käsitellä kantelut vaaditulla huolellisuudella, valvontaviranomaisten on otettava huomioon kaikki asian merkitykselliset seikat sekä varmistettava valitsemansa vaihtoehdon asianmukaisuus, tarpeellisuus ja oikeasuhteisuus.
68
Valvontaviranomainen voisi asian merkityksellisten seikkojen mukaan ja sen toiminnan moitteetonta sujumista mahdollisesti haittaavan väärinkäyttöä tarkoittavan menettelyn lopettamiseksi katsoa aiheelliseksi periä kohtuuttomien kantelujen aiheuttamasta lisätyöstä syntyneisiin hallinnollisiin kustannuksiin perustuvan kohtuullisen maksun. Tämän vaihtoehdon varoittavuus saattaisi nimittäin saada valvontaviranomaisen suosimaan tätä vaihtoehtoa sen sijaan että se kieltäytyisi välittömästi kantelujen käsittelystä.
69
Yleisen tietosuoja-asetuksen johdanto-osan 129 perustelukappaleen valossa valvontaviranomaiset voisivat näin ollen harkita ensimmäisessä vaiheessa hallinnollisiin kustannuksiin perustuvan kohtuullisen maksun perimistä ennen kuin ne kieltäytyvät toisessa vaiheessa kantelujen käsittelystä, jos ensimmäinen näistä toimenpiteistä on rekisteröidyillä asetuksen nojalla olevia oikeuksia vähemmän loukkaava toimenpide kuin jälkimmäinen niistä. Mainitun asetuksen 57 artiklan 4 kohdassa ei kuitenkaan edellytetä, että valvontaviranomaisen on kaikissa tapauksissa ensin käytettävä kohtuullisen maksun perimistä koskevaa vaihtoehtoa.
70
Edellä esitetyn perusteella kolmanteen kysymykseen on vastattava, että yleisen tietosuoja-asetuksen 57 artiklan 4 kohtaa on tulkittava siten, että saadessaan kohtuuttomia pyyntöjä valvontaviranomainen voi perustellulla päätöksellä valita joko periä hallinnollisiin kustannuksiin perustuvan kohtuullisen maksun tai kieltäytyä pyyntöjen käsittelystä, jolloin sen on otettava huomioon asian kaikki merkitykselliset seikat sekä varmistettava valitsemansa vaihtoehdon asianmukaisuus, tarpeellisuus ja oikeasuhteisuus.
Oikeudenkäyntikulut
71
Pääasian asianosaisten osalta asian käsittely unionin tuomioistuimessa on välivaihe kansallisessa tuomioistuimessa vireillä olevan asian käsittelyssä, minkä vuoksi kansallisen tuomioistuimen asiana on päättää oikeudenkäyntikulujen korvaamisesta. Oikeudenkäyntikuluja, jotka ovat aiheutuneet muille kuin näille asianosaisille huomautusten esittämisestä unionin tuomioistuimelle, ei voida määrätä korvattaviksi.
Näillä perusteilla unionin tuomioistuin (ensimmäinen jaosto) on ratkaissut asian seuraavasti:
1)
Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) 57 artiklan 4 kohtaa
on tulkittava siten, että
siihen sisältyvä käsite ”pyyntö” kattaa kyseisen asetuksen 57 artiklan 1 kohdan f alakohdassa ja 77 artiklan 1 kohdassa tarkoitetut kantelut.
2)
Asetuksen 2016/679 57 artiklan 4 kohtaa
on tulkittava siten, että
pyyntöjä ei voida pitää ”kohtuuttomina” asetuksen 57 artiklan 4 kohdassa tarkoitetussa merkityksessä yksistään tietyn ajanjakson kuluessa esitettyjen pyyntöjen määrän perusteella, koska mainitussa säännöksessä säädetyn mahdollisuuden käyttäminen edellyttää, että valvontaviranomainen osoittaa pyynnöt esittäneen henkilön väärinkäyttötarkoituksen.
3)
Asetuksen 2016/679 57 artiklan 4 kohtaa
on tulkittava siten, että
saadessaan kohtuuttomia pyyntöjä valvontaviranomainen voi perustellulla päätöksellä valita joko periä hallinnollisiin kustannuksiin perustuvan kohtuullisen maksun tai kieltäytyä pyyntöjen käsittelystä, jolloin sen on otettava huomioon asian kaikki merkitykselliset seikat sekä varmistettava valitsemansa vaihtoehdon asianmukaisuus, tarpeellisuus ja oikeasuhteisuus.
Allekirjoitukset
(
*1
)	Oikeudenkäyntikieli: saksa.