62023TJ0070_RES
Yhdistetyt asiat T‑70/23, T‑84/23 ja T‑11/23
(julkaistu otteina)
Data Protection Commission
vastaan
Euroopan tietosuojaneuvosto
Unionin yleisen tuomioistuimen tuomio 29.1.2025
Henkilötietojen suoja – Asetuksen (EU) 2016/679 65 artiklan 1 kohdan a alakohta – Sitova päätös, jolla johtavalle valvontaviranomaiselle annetaan ohjeet laajentaa tutkimusta ja laatia täydentävä päätösehdotus – Euroopan tietosuojaneuvoston toimivalta
Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus 2016/679 – Euroopan tietosuojaneuvoston toimivalta – Ulottuvuus – Sitova päätös, jolla johtavalle valvontaviranomaiselle annetaan ohjeet laajentaa tutkimusta ja laatia täydentävä päätösehdotus, kuuluu sen toimivaltaan
(SEU 39 artikla; SEUT 16 artiklan 1 ja 2 kohta, SEUT 101 artikla ja SEUT 102 artikla; Euroopan unionin perusoikeuskirjan 8 artiklan 1 ja 3 kohta; Euroopan parlamentin ja neuvoston asetuksen 2016/679 johdanto-osan 126, 136 ja 141 perustelukappale; 4 artiklan 24 kohta, 57 artiklan 1 alakohdan a ja f alakohta, 58 artiklan 2 kohta, 60 artikla, 65 artiklan 1 kohdan a alakohta ja 2, 3 ja 6 kohta sekä 66 artikla)
(ks. 35, 36, 38-40, 43-45, 49-54, 56-59, 62, 63, 68-75, 77–82 kohta)
Tiivistelmä
Unionin yleinen tuomioistuin asiaa laajennetussa jaostossa käsiteltyään hylkää Data Protection Commissionin, joka on henkilötietojen suojaa valvova viranomainen Irlannissa, kanteet, joissa vaaditaan, että Euroopan tietosuojaneuvoston (jäljempänä tietosuojaneuvosto) antamat sitovat päätökset kumotaan osittain. Unionin yleinen tuomioistuin lausuu tuomiossaan ensimmäistä kertaa tietosuojaneuvoston toimivallasta velvoittaa kansallinen valvontaviranomainen laajentamaan analyysiään ja tarvittaessa tutkimustaan.
Muiden osallistuvien valvontaviranomaisten kanssa käytyjen keskustelujen jälkeen Data Protection Commission, joka on johtava valvontaviranomainen, totesi, ettei vastalauseista sen päätösehdotukseen, joka koski Facebook-yhteisöpalvelun, Instagram-yhteisöpalvelun ja WhatsApp-viestipalvelun käyttöön liittyvien tietojen rajatylittävää käsittelyä, voitu päästä yksimielisyyteen. Näin ollen se saattoi asian tietosuojaneuvoston käsiteltäväksi yhdenmukaisuusmekanismin puitteissa. (
1
)
Kolme asiakirja-aineistoa tutkittuaan tietosuojaneuvosto katsoi, että suurin osa päätösehdotuksesta esitetyistä vastalauseista oli merkityksellisiä ja perusteltuja, ja se päätti ottaa kantaa niissä esiin nostettuihin kysymyksiin.
Niinpä se antoi 5.12.2022 sitovat päätökset, joissa Data Protection Commissionin edellytettiin tekevän edellä mainitun kolmen sovellutuksen käyttöön liittyvästä tietojenkäsittelystä uusia tutkimuksia ja laativan niiden perusteella täydentäviä päätösehdotuksia.
Data Protection Commission riitautti tietosuojaneuvoston toimivallan velvoittaa se sitovilla päätöksillä toteuttamaan tällaisia toimenpiteitä.
Unionin yleisen tuomioistuimen arviointi asiasta
Unionin yleinen tuomioistuin täsmentää ensinnäkin tietosuojaneuvoston toimivaltaa (
2
) tukeutumalla yleisen tietosuoja-asetuksen sanamuodon mukaiseen, asiayhteyteen perustuvaan ja teleologiseen tulkintaan.
Aluksi se toteaa tässä yhteydessä, että yleisen tietosuoja-asetuksen säännösten (
3
) sanamuodon mukaisen tulkinnan perusteella tietosuojaneuvostolla on toimivalta antaa riidanalaisten säännösten kaltaisia säännöksiä, joissa johtavalle valvontaviranomaiselle annetaan ohjeet suorittaa uusi tutkimus tietyistä kyseiseen asiakirja-aineistoon liittyvistä seikoista ja esittää sen jälkeen uusia päätösehdotuksia. Koska tietosuojaneuvoston sitovan päätöksen on koskettava kaikkia kysymyksiä, joista on esitetty merkityksellisiä ja perusteltuja vastalauseita, yleisen tietosuoja-asetuksen merkitykselliset säännökset eivät estä sitä, että kun tietosuojaneuvosto hyväksyy jotakin päätösehdotukseen sisältyvää seikkaa koskevan analyysin puutteellisuutta tai riittämättömyyttä koskevan merkityksellisen ja perustellun vastalauseen, jonka vuoksi ei voida tietää, onko tätä asetusta rikottu, johtava valvontaviranomainen velvoitetaan kyseisessä päätöksessä korjaamaan kyseinen puute analyysissään ja syventämään tai laajentamaan tältä osin tähän mennessä suorittamaansa tutkimusta, jos se tietosuojaneuvoston käytettävissä oleva asiakirja-aineisto huomioon ottaen on tarpeen. Jos on ilmeistä, että asiakirja-aineisto on vaadittavan analyysin täysimääräisen suorittamisen kannalta riittämätön, on tämän johdettava siihen, että tietosuojaneuvosto voi velvoittaa johtavan valvontaviranomaisen suorittamaan täydentävän tutkimuksen.
Unionin yleinen tuomioistuin katsoo seuraavaksi yleisen tietosuoja-asetuksen merkityksellisten säännösten asiayhteyteen perustuvan tulkinnan perusteella, että osallistuvien valvontaviranomaisten välisen yhteistyövelvoitteen, joka on vahvistettu yleisessä tietosuoja-asetuksessa, yleinen asiayhteys vahvistaa tietosuojaneuvoston toimivallan antaa riitautettuja toimenpiteitä.
Se toteaa tältä osin, että osallistuvien valvontaviranomaisten välinen yhteistyömenettely, (
4
) johon voi sisältyä yhdenmukaisuusmekanismin, josta tietosuojaneuvosto vastaa, käynnistäminen, ei ole ”yksisuuntainen” menettely, jossa vaiheet seuraavat aina toisiaan niiden säännösten mukaisessa järjestyksessä, joissa niistä säädetään, ilman, että edelliseen vaiheeseen palaaminen tai väliaikaisesti samaan vaiheeseen jääminen olisi mahdollista.
Se huomauttaa lisäksi, että olosuhteiden, joissa henkilötietojen käsittely suoritetaan, ja sen, onko käsittely yleisen tietosuoja-asetuksen mukaista, analysointia ei pidä rajata vain siihen, mitä kantelijan kantelussa korostetaan. Erityisesti yleisessä tietosuoja-asetuksessa säädettyjen valvontaviranomaisten tehtävien valvoa kyseisen asetuksen noudattamista ja käsitellä kanteluja siinä määrin, kuin se on asianmukaista, (
5
) täysimääräinen täyttäminen edellyttävät, että asiaa koskevan asianmukaisen analyysin laajuudesta päätetään siten, että huomioon otetaan siihen johtanut kantelu sekä myös muut seikat, joilla kantelua voidaan täydentää. Merkityksellinen ja perusteltu vastalause koskee määritelmänsä mukaisesti kuitenkin seikkoja, joiden analysointi selvästi kuuluu kumpaankin edellä mainittuun tehtävään. Näin ollen se, että merkityksellinen ja perusteltu vastalause koskee analyysin laajuutta sekä tarvittaessa tutkimuksen laajuutta ja että tietosuojaneuvosto toteuttaa vastalauseen johdosta jatkotoimia, ei millään tavoin vaaranna näitä tehtäviä.
Unionin yleinen tuomioistuin korostaa vielä, että myös yleisen tietosuoja-asetuksen tavoitteiden tarkastelu vahvistaa yleisen tietosuoja-asetuksen merkityksellisten säännösten sanamuotoon perustuvan analyysin.
Se muistuttaa tässä yhteydessä, että osallistuvien valvontaviranomaisten välisen yhteistyömekanismin rajat tulevat kuitenkin vastaan silloin, kun nämä valvontaviranomaiset eivät saavuta yksimieleisyyttä. Juuri tässä tilanteessa johtavan valvontaviranomaisen on toimitettava kysymys, josta ei ole saavutettu yhteisymmärrystä, yhdenmukaisuusmekanismille, mikä johtaa tietosuojaneuvoston sitovaan päätökseen. Jos tutkimus aloitetaan uudelleen, toimivaltaisen viranomaisen on annettava lopullinen päätös aineellisista näkökohdista, jotka tietosuojaneuvoston sitovan päätöksen jälkeen on analysoitu ja ratkaistu, yleisessä tietosuoja-asetuksessa säädetyssä määräajassa. Tämä ei estä sitä suorittamasta täydentävää tutkimusta ja analysoimasta tapaukseen liittyviä seikkoja, joita ei vielä ole tutkittu.
Unionin yleinen tuomioistuin katsoo toiseksi, että unionin elimelle annetun toimivallan edellytykset eivät ole esteenä esitetylle tulkinnalle, jonka mukaan tietosuojaneuvostolla on toimivalta velvoittaa johtavan valvontaviranomaisen laajentamaan analyysiään ja tarvittaessa tutkimustaan. Tällaisen toimivallan käytölle on näet asetettu useita erilaisia sen liikkumavaraa rajoittavia edellytyksiä ja kriteereitä. Toimivaltaa voidaan siten yhtäältä käyttää vain siinä tapauksessa, että johtavan valvontaviranomaisen tapauksen käsittelyn yhteydessä tekemässä analyysissä on havaittu selviä puutteita, joilla voi olla merkittäviä seurauksia, mikä ilmenee merkityksellisen ja perustellun vastalauseen määritelmästä, ja toimivalta perustuu toisaalta valvontaviranomaisten, joista tietosuojaneuvosto koostuu, tekemään kollektiiviseen arviointiin.
Unionin yleinen tuomioistuin täsmentää lisäksi, että mainitun toimivallan käyttö voi olla tuomioistuinvalvonnan kohteena. Tarkemmin sanoen unionin tuomioistuimet voivat niille esitettyjen perusteiden rajoissa tarkistaa riidanalaisten säännösten aineellisen lainmukaisuuden ottamalla huomioon yksittäistapauksen olosuhteet. Erityisesti ne voivat ensiksi tarkistaa, onko tietosuojaneuvosto tällaisia säännöksiä antaessaan hyväksynyt todella valvontaviranomaisen esittämän merkityksellisen ja perustellun vastalauseen. Ne voivat toiseksi tarkistaa tällaisten säännösten, joissa annetaan valvontaviranomaisille ohjeita, keskeisen sisällön lainmukaisuuden.
Unionin yleinen tuomioistuin lisää tässä yhteydessä, että tietosuojaneuvoston sitovalla päätöksellä, jossa johtava valvontaviranomainen velvoitetaan laajentamaan analyysiään ja tutkimustaan, ei aseteta kyseenalaiseksi sen kykyä asettaa sille riippumattomana viranomaisena kuuluvien eri tehtävien suorittamista oikeaan tärkeysjärjestykseen, ja tähän tehtävään kohdistuva valvonta kuuluu yksinomaan kansalliselle tuomioistuimelle. Sillä ei kyseenalaisteta myöskään yleisemmin kantajan riippumattomuutta. (
6
)
(
1
)	Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) 60 artiklan 4 kohdan mukaisesti (EUVL 2016, L 119, s. 1) (jäljempänä yleinen tietosuoja-asetus).
(
2
)	Yleisen tietosuoja-asetuksen 65 artiklan 1 kohdan a alakohdan mukaisesti.
(
3
)	Yleisen tietosuoja-asetuksen 65 artiklan 1 kohdan a alakohta luettuna yhdessä tämän asetuksen 4 artiklan 24 alakohdan, 65 artiklan 6 kohdan ja johdanto-osan 126 ja 136 perustelukappaleen kanssa.
(
4
)	Siitä on säädetty yleisen tietosuoja-asetuksen 60 artiklassa.
(
5
)	Yleisen tietosuoja-asetuksen 57 artiklan 1 kohdan a ja f alakohta.
(
6
)	Se on vahvistettu SEU 39 artiklassa, SEUT 16 artiklan 2 kohdassa ja Euroopan unionin perusoikeuskirjan 8 artiklan 3 kohdassa.