62023CC0416
JULKISASIAMIEHEN RATKAISUEHDOTUS JEAN RICHARD DE LA TOUR
5 päivänä syyskuuta 2024 (
1
)
Asia C‑416/23
Österreichische Datenschutzbehörde,
jossa asian käsittelyyn osallistuvat
F R ja
Bundesministerin für Justiz
(Ennakkoratkaisupyyntö – Verwaltungsgerichtshof (ylin hallintotuomioistuin, Itävalta))
Ennakkoratkaisupyyntö – Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus (EU) 2016/679 – 57 artiklan 4 kohta – Valvontaviranomaisen tehtävät – Pyyntö – Käsite – Kohtuuttomat pyynnöt – Käsite – 77 artiklan 1 kohta – Oikeus tehdä kantelu – Hallinnollisiin kustannuksiin perustuva kohtuullinen maksu tai valvontaviranomaisen kieltäytyminen pyynnön käsittelystä – Perusteet, jotka voivat ohjata valvontaviranomaista sen tehdessä valintaa
I Johdanto
1.
Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) (
2
) 57 artiklan 4 kohdassa valvontaviranomaisille, joille esitetään pyyntöjä, jotka ovat ilmeisen perusteettomia tai kohtuuttomia erityisesti niiden toistuvuuden perusteella, annetaan mahdollisuus periä hallinnollisiin kustannuksiin perustuva kohtuullinen maksu tai kieltäytyä pyyntöjen käsittelystä.
2.
Tämän menettelyllisen välineen taustalla oleva logiikka perustuu ajatukseen siitä, että vaikka rekisteröityjen on voitavakin helposti vaatia valvontaviranomaisilta yleiseen tietosuoja-asetukseen perustuvien oikeuksiensa noudattamista, valvontaviranomaisten on puolestaan voitava käsitellä erityisellä tavalla kohtuuttomia pyyntöjä varmistaakseen toimintansa moitteettoman sujumisen ja säilyttääkseen valmiutensa tehtäviensä täysimääräiseen hoitamiseen.
3.
Selvitettäväksi jää, mitä kohtuuttomuus tässä asiassa tarkoittaa. Tämä on käsiteltävässä ennakkoratkaisupyynnössä esiin nouseva keskeinen kysymys.
4.
Tämä pyyntö on esitetty asiassa, jossa vastakkain ovat Österreichische Datenschutzbehörde (tietosuojaviranomainen, Itävalta) (jäljempänä tietosuojaviranomainen) sekä F R ja jossa on kyse siitä, että tietosuojaviranomainen kieltäytyi yleisen tietosuoja-asetuksen 57 artiklan 4 kohdan nojalla käsittelemästä F R:n saman asetuksen 77 artiklan 1 kohdan nojalla tekemää kantelua.
II Pääasian tosiseikat ja ennakkoratkaisukysymykset
5.
F R teki 17.2.2020 tietosuojaviranomaiselle yleisen tietosuoja-asetuksen 77 artiklan 1 kohdan mukaisen kantelun saman asetuksen 15 artiklaan perustuvan tietoihin tutustumista koskevan oikeutensa loukkaamisesta sillä perusteella, että rekisterinpitäjä ei vastannut hänen tiedonsaantipyyntöönsä kuukauden kuluessa.
6.
Tietosuojaviranomainen kieltäytyi 22.4.2020 tekemällään päätöksellä käsittelemästä kantelua yleisen tietosuoja-asetuksen 57 artiklan 4 kohdan nojalla pitäen sitä ”kohtuuttomana”. Se pani merkille etenkin, että F R oli tehnyt sille noin 20 kuukauden sisällä 77 kantelua riitauttaakseen sen, ettei hän ollut saanut kuukauden kuluessa eri rekisterinpitäjiltä vastausta tiedonsaantipyyntöihinsä tai rekisteristä poistamista koskeviin pyyntöihinsä. (
3
) F R oli ottanut tietosuojaviranomaiseen säännöllisesti yhteyttä myös puhelimitse ilmoittaakseen lisäseikkoja ja tiedustellakseen mahdollisten muiden kantelujen tekemistä.
7.
F R valitti päätöksestä Bundesverwaltungsgerichtiin (liittovaltion hallintotuomioistuin, Itävalta). Tämä hyväksyi valituksen 22.12.2022 antamallaan tuomiolla ja kumosi tietosuojaviranomaisen päätöksen. Bundesverwaltungsgericht totesi pääasiallisesti, että pyynnön kohtuuttomana pitäminen yleisen tietosuoja-asetuksen 57 artiklan 4 kohdassa tarkoitetussa merkityksessä edellyttää paitsi pyyntöjen toistuvuutta myös sitä, että niitä esitetään ilmeisessä kiusanteko- tai väärinkäyttötarkoituksessa. Bundesverwaltungsgerichtin mukaan tietosuojaviranomaisen perustelusta kieltäytyä F R:n kantelun käsittelystä ei kuitenkaan ilmene, että F R olisi menetellyt väärinkäyttötarkoituksessa. Tietosuojaviranomainen ei myöskään voi valita mielensä mukaan ja joko periä ”kohtuuttomaan” pyyntöön perustuvan kohtuullisen maksun tai kieltäytyä pyynnön käsittelystä. Viranomaisen on perusteltava valintansa, mitä se ei ilmeisesti ole tässä asiassa tehnyt.
8.
Tietosuojaviranomainen teki Bundesverwaltungsgerichtin tuomiosta Revision-valituksen Verwaltungsgerichtshofiin (ylin hallintotuomioistuin, Itävalta), joka on ennakkoratkaisua pyytänyt tuomioistuin käsiteltävässä asiassa ja joka tiedustelee ensinnäkin, voidaanko yleisen tietosuoja-asetuksen 77 artiklan 1 kohdassa tarkoitetun ”kantelun” käsite rinnastaa saman asetuksen 57 artiklan 4 kohdassa tarkoitetun ”pyyntöjen” käsitteeseen.
9.
Verwaltungsgerichtshof huomauttaa, että kieltävä vastaus kysymykseen johtaisi siihen, että valvontaviranomainen ei voisi mainitun säännöksen perusteella kieltäytyä kantelujen käsittelystä eikä periä kohtuullista maksua niiden käsittelystä, vaikka ne olisivat mahdollisesti perusteettomia tai kohtuuttomia. Verwaltungsgerichtshofin mukaan vankimmat perustelut puoltavat yleisen tietosuoja-asetuksen 77 artiklan 1 kohdassa mainittujen kantelujen sisällyttämistä kyseisen asetuksen 57 artiklan 4 kohdan soveltamisalaan.
10.
Ennakkoratkaisua pyytänyt tuomioistuin on toisaalta epävarma viimeksi mainitussa säännöksessä tarkoitetulle käsitteelle ”kohtuuttomat pyynnöt” annettavasta merkityksestä. Se toteaa, että vaikka pyyntöjen toistuvuus mainitaan esimerkkinä kohtuuttomista pyynnöistä, olisi otettava huomioon, että valvontaviranomaisen mahdollisuus kieltäytyä kantelun käsittelystä loukkaa merkittävästi suojaa, johon rekisteröidyt voivat yleisen tietosuoja-asetuksen nojalla vedota. Tämä olisi siten vastoin asetuksen tavoitetta varmistaa henkilötietojen suojan korkea taso. Valvontaviranomaisten mahdollisuutta kieltäytyä kantelujen käsittelystä poikkeuksena kantelujen käsittelyä koskevasta velvollisuudestaan olisi tulkittava suppeasti.
11.
Ennakkoratkaisua pyytänyt tuomioistuin onkin epävarma, voiko se, että rekisteröity hyödyntää yleisen tietosuoja-asetuksen tarjoamia mahdollisuuksia tehdäkseen muihin rekisteröityihin verrattuna huomattavan paljon kanteluita, etenkin kun kantelut koskevat eri rekisterinpitäjiä, yksistään riittää perusteluksi siihen, että pyyntöjä pidetään ”kohtuuttomina” väärinkäyttötarkoituksen osoittavien muiden seikkojen puuttuessa.
12.
Sillä, että tiettyjen kantelujen käsittely aiheuttaa valvontaviranomaiselle keskimääräistä enemmän työtä ja vie keskimääräistä enemmän aikaa, ei myöskään voida ennakkoratkaisua pyytäneen tuomioistuimen mielestä yksistään oikeuttaa maksun perimistä tai kantelujen käsittelystä kieltäytymistä yleisen tietosuoja-asetuksen 57 artiklan 4 kohdan nojalla.
13.
Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee kolmanneksi, voiko valvontaviranomainen saadessaan ilmeisen perusteettomia tai kohtuuttomia pyyntöjä valita vapaasti ja joko periä hallinnollisiin kustannuksiin perustuvan kohtuullisen maksun tai kieltäytyä pyyntöjen käsittelystä.
14.
Verwaltungsgerichtshof (ylin hallintotuomioistuin, Itävalta) on päättänyt tässä tilanteessa lykätä asian käsittelyä ja esittää unionin tuomioistuimelle seuraavat ennakkoratkaisukysymykset:
”1)
Onko [tietosuoja-asetuksen] 57 artiklan 4 kohdassa tarkoitettua käsitettä ’pyyntö’ tai ’pyynnöt’ tulkittava siten, että sillä on ymmärrettävät tarkoitettavan myös 77 artiklan 1 kohdassa tarkoitettuja ’kanteluita’?
2)
Mikäli ensimmäiseen kysymykseen vastataan myöntävästi: Onko yleisen tietosuoja-asetuksen 57 artiklan 4 kohtaa tulkittava siten, että siihen, että kyseessä ovat ’kohtuuttomat pyynnöt’, riittää jo se, että rekisteröity on tietyn ajanjakson aikana vain esittänyt tietyn määrän pyyntöjä (yleisen tietosuoja-asetuksen 77 artiklan 1 kohdassa tarkoitettuja kanteluja) valvontaviranomaiselle, riippumatta siitä, ovatko kyseessä erilaiset asiayhteydet ja/tai koskevatko pyynnöt (kantelut) eri rekisterinpitäjiä, vai edellytetäänkö sen lisäksi, että pyyntöjä (kanteluja) on esitetty toistuvasti, myös oikeuden väärinkäyttötarkoitusta rekisteröidyn taholta?
3)
Onko yleisen tietosuoja-asetuksen 57 artiklan 4 kohtaa tulkittava siten, että kun kyseessä on ’ilmeisen perusteeton’ tai ’kohtuuton’ pyyntö (kantelu), valvontaviranomainen voi valita vapaasti, periikö se kohtuullisen maksun sen käsittelystä aiheutuneiden hallinnollisten kustannusten perusteella vai kieltäytyykö se heti sen käsittelystä; mikäli tähän vastataan kieltävästi, mitä seikkoja ja mitä perusteita valvontaviranomaisen on otettava huomioon, ja erityisesti, onko valvontaviranomainen velvollinen perimään ensisijaisesti lievempänä keinona kohtuullisen maksun, ja onko sillä vasta siinä tapauksessa, että maksun perimisestä ei ole apua ilmeisen perusteettomien tai kohtuuttomien pyyntöjen (kantelujen) välttämisessä, oikeus kieltäytyä niiden käsittelemisestä?”
15.
Kirjallisia huomautuksia ovat esittäneet F R, tietosuojaviranomainen, Bundesministerin für Justiz (liittovaltion oikeusministeri, Itävalta), Itävallan ja Tšekin hallitukset sekä Euroopan komissio.
III Arviointi
A
Ensimmäinen ennakkoratkaisukysymys
16.
Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee ensimmäisellä kysymyksellään unionin tuomioistuimelta pääasiallisesti, kattaako yleisen tietosuoja-asetuksen 57 artiklan 4 kohdassa tarkoitettu käsite ”pyynnöt” myös 57 artiklan 1 kohdan f alakohdassa ja 77 artiklan 1 kohdassa (
4
) tarkoitetut ”kantelut”.
17.
Kieltäytyessään yleisen tietosuoja-asetuksen 57 artiklan 4 kohdan nojalla käsittelemästä kantelua, jonka F R oli tehnyt sillä perusteella, että hänen 15 artiklaan perustuvaa tiedonsaantioikeuttaan olisi loukattu, tietosuojaviranomainen teki päätöksen sen oletuksen perusteella, että 77 artiklan 1 kohdan nojalla rekisteröityjen tekemät kantelut on rinnastettava 57 artiklan 4 kohdassa tarkoitettuihin ”pyyntöihin”.
18.
Ennakkoratkaisua pyytänyt tuomioistuin pitää tarpeellisena tiedustella unionin tuomioistuimelta, onko oletus oikea, sillä jos se ei ole, valvontaviranomainen ei voisi kieltäytyä käsittelemästä kanteluja tai periä niiden käsittelyyn perustuvan kohtuullisen maksun yleisen tietosuoja-asetuksen 57 artiklan 4 kohdan nojalla.
19.
Muistutettakoon aluksi yhtäältä, että unionin tuomioistuimen vakiintuneen oikeuskäytännön mukaan unionin oikeuden säännöksen tai määräyksen sanamuotoa, joka ei sisällä nimenomaista viittausta jäsenvaltioiden oikeuteen säännöksen tai määräyksen merkityksen ja ulottuvuuden määrittämiseksi, on tavallisesti tulkittava kaikkialla unionissa itsenäisesti ja yhtenäisesti. (
5
) Toisaalta unionin oikeuden säännöksen tai määräyksen tulkinnassa on otettava huomioon sekä oikeussäännön sanamuoto sen tavanomaisessa yleiskielisessä merkityksessä että sen asiayhteys sekä sen lainsäädännön tavoitteet, johon se kuuluu. (
6
)
20.
Yleisen tietosuoja-asetuksen 57 artiklan 4 kohdan sanamuodon mukainen, asiayhteyteen perustuva ja teleologinen tulkinta saavat minut toteamaan, että tässä säännöksessä tarkoitettu käsite ”pyynnöt” kattaa 57 artiklan 1 kohdan f alakohdassa ja 77 artiklan 1 kohdassa tarkoitetut ”kantelut”.
21.
Pantakoon ensinnäkin merkille yleisen tietosuoja-asetuksen 57 artiklan 4 kohdan sanamuoto, joka on seuraava: ”Jos pyynnöt ovat ilmeisen perusteettomia tai kohtuuttomia, erityisesti siitä syystä, että niitä esitetään toistuvasti, valvontaviranomainen voi periä niistä hallinnollisiin kustannuksiin perustuvan kohtuullisen maksun tai kieltäytyä suorittamasta pyydettyä toimea. Valvontaviranomaisen on osoitettava pyynnön ilmeinen perusteettomuus tai kohtuuttomuus.”
22.
Yleisen tietosuoja-asetuksen 77 artiklan 1 kohdassa puolestaan säädetään seuraavaa: ”Jokaisella rekisteröidyllä on oikeus tehdä kantelu valvontaviranomaiselle, erityisesti siinä jäsenvaltiossa, jossa hänen vakinainen asuinpaikkansa tai työpaikkansa on taikka jossa väitetty rikkominen on tapahtunut, jos rekisteröity katsoo, että häntä koskevien henkilötietojen käsittelyssä rikotaan tätä asetusta, sanotun kuitenkaan rajoittamatta muita hallinnollisia muutoksenhakukeinoja tai oikeussuojakeinoja.”
23.
Yleisen tietosuoja-asetuksen yhdessäkään säännöksessä ei määritellä 57 artiklan 4 kohdassa tarkoitettua käsitettä ”pyynnöt”. Käsite on sen tavanomaisessa yleiskielisessä merkityksessä erityisen laaja. Se pitää sisällään mahdollisesti kaikki henkilön tai yhteisön tekemät pyynnöt. Laroussen sanakirjassa ”pyynnön” käsite määritellään ”ilmaisuna siitä, että haluaa saada jotakin; pyytäminen; pyytämistä ilmaiseva kirjoitus” (”action de faire savoir que l’on désire obtenir quelque chose; fait de demander; écrit qui l’exprime”), ja sen synonyyminä mainitaan ”vaatimus (”réclamation”) [tämä ilmaisu on käännetty yleisen tietosuoja-asetuksen suomenkielisen version 77 artiklan 1 kohdassa ”kanteluksi”]. Yleisen tietosuoja-asetuksen 77 artiklan 1 kohdan nojalla tehtävät kantelut voidaan siis mielestäni sisällyttää 57 artiklan 4 kohdassa tarkoitettujen ”pyyntöjen” luokkaan.
24.
Toiseksi huomattakoon, että sanamuotoon perustuvaa tulkintaa tukee säännöksen asiayhteys. Todettakoon, että yleisen tietosuoja-asetuksen 57 artiklassa esitellään valvontaviranomaisten tehtävät ja niiden hoitamisen edellytykset. Näitä ovat:
–
yleisen tietosuoja-asetuksen 57 artiklan 1 kohdan a alakohdassa säädetään, että kunkin valvontaviranomaisen on ”valvottava tämän asetuksen soveltamista ja täytäntöönpanoa”;
–
saman asetuksen 57 artiklan 1 kohdan e alakohdassa säädetään, että kunkin valvontaviranomaisen on ”annettava pyynnöstä (
7
) rekisteröidyille tietoja niille tämän asetuksen mukaan kuuluvien oikeuksien käytöstä ja tarvittaessa tehtävä yhteistyötä muiden jäsenvaltioiden viranomaisten kanssa tätä tarkoitusta varten”;
–
saman asetuksen 57 artiklan 1 kohdan f alakohdassa puolestaan säädetään, että kunkin valvontaviranomaisen on ”käsiteltävä rekisteröidyn tai 80 artiklan mukaisen elimen, järjestön tai yhdistyksen tekemiä valituksia [oikeammin kanteluja] (
8
) ja tutkittava siinä määrin kuin se on asianmukaista valituksen [oikeammin kantelun] kohdetta ja ilmoitettava valituksen [oikeammin kantelun] tekijälle tutkinnan etenemisestä sekä tutkinnan tuloksista kohtuullisen ajan kuluessa, erityisesti jos asia edellyttää lisätutkimuksia tai koordinointia toisen valvontaviranomaisen kanssa”.
25.
Yleisen tietosuoja-asetuksen 57 artiklan 2 kohdan mukaan ”kaikkien valvontaviranomaisten on helpotettava 1 kohdan f alakohdassa tarkoitettujen valitusten [oikeammin kantelujen] (
9
) jättämistä toimenpitein, kuten antamalla mahdollisuuden käyttää valituslomaketta [oikeammin kantelulomaketta], joka voidaan täyttää myös sähköisesti, muita mahdollisia viestintäkeinoja pois sulkematta”.
26.
Mainitun asetuksen 57 artiklan 3 kohdassa säädetään lisäksi periaatteesta, jonka mukaan ”minkään valvontaviranomaisten tehtävien suorittamisesta ei aiheudu kustannuksia rekisteröidylle eikä tapauksen mukaan tietosuojavastaavalle”.
27.
Yleisen tietosuoja-asetuksen 57 artiklan 4 kohdassa säädetään valvontaviranomaisten mahdollisuudesta periä hallinnollisiin kustannuksiin perustuva kohtuullinen maksu tai kieltäytyä pyynnön käsittelystä, jos niille esitetään ilmeisen perusteettomia tai kohtuuttomia pyyntöjä, mikä merkitsee poikkeusta 57 artiklan 3 kohdassa säädetystä maksuttomuuden periaatteesta sekä poikkeusta valvontaviranomaisten velvollisuudesta käsitellä niille tehdyt pyynnöt.
28.
Toisin kuin F R väittää, näiden eri säännösten vertailusta ei mielestäni voida päätellä, että yleisen tietosuoja-asetuksen 57 artiklan 4 kohtaa, siltä osin kuin siinä käytetään käsitettä ”pyynnöt”, olisi sovellettava yksistään 57 artiklan 1 kohdan e alakohdassa tarkoitettuihin pyyntöihin. Toteamuksesta, että mainitussa säännöksessä käytetään käsitettä ”pyynnöt”, ei siis mielestäni pitäisi päätellä, että 57 artiklan 4 kohdan soveltamisala olisi rajattava siinä säädettyihin valvontaviranomaisten tehtäviin. Toteamus, että saman asetuksen 57 artiklan 2 kohdassa viitataan ”kanteluihin”, ei toisaalta tarkoita, että tämä olisi ainoa säännös, jonka tarkoituksena on säännellä valvontaviranomaisille tehtäviä kanteluja koskevia edellytyksiä.
29.
Panenkin merkille, että yleisen tietosuoja-asetuksen 57 artiklan 3 kohtaa, jossa säädetään valvontaviranomaisten suorittamien tehtävien maksuttomuutta koskevasta periaatteesta, sovelletaan valvontaviranomaisten kaikkiin tehtäviin, myös 57 artiklan 1 kohdan f alakohdassa tarkoitettuun kantelujen käsittelyyn. Yleisen tietosuoja-asetuksen 57 artiklan 4 kohtaa, siltä osin kuin siinä säädetään maksuttomuusperiaatetta koskevasta poikkeuksesta, olisi siten loogisuuden ja yhdenmukaisuuden nimissä sovellettava myös kantelujen käsittelyyn rajoittamatta maksuttomuutta vain tiettyihin valvontaviranomaisten tehtäviin.
30.
Näin on etenkin kun yleisen tietosuoja-asetuksen 57 artiklan 1 kohdan f alakohdassa tarkoitettu kantelujen käsittely on olennainen osa valvontaviranomaisten työtä. (
10
) Saman asetuksen 57 artiklan 2 kohdassa tarkoitetulla kantelujen helpottamista koskevalla velvoitteella ja 3 kohdassa tarkoitetulla maksuttomuusperiaatteella onkin tarkoitus antaa kaikille rekisteröidyille mahdollisuus vaatia valvontaviranomaiselta yleiseen tieto-suoja-asetukseen perustuvien oikeuksiensa noudattamista.
31.
Tulkinta, jonka mukaan yleisen tietosuoja-asetuksen 57 artiklan 4 kohdassa tarkoitettu käsite ”pyynnöt” kattaisi ainoastaan 57 artiklan 1 kohdan e alakohdan piiriin kuuluvat pyynnöt mutta ei 57 artiklan 1 kohdan f alakohdassa tai 77 artiklan 1 kohdassa tarkoitettuja kanteluja, vesittäisi suuren osan ensiksi mainitun säännöksen tehokkuudesta.
32.
Yleisen tietosuoja-asetuksen 57 artiklan 1 kohdan f alakohdassa ja 77 artiklan 1 kohdassa tarkoitettuja kanteluja voidaan mielestäni pitää mahdollisesti ”ilmeisen perusteettomina” paremmin kuin 57 artiklan 1 kohdan e alakohdan nojalla tehtäviä pyyntöjä, joilla rekisteröidyt pyytävät valvontaviranomaisilta tietoja asetuksen perusteella heille kuuluvien oikeuksien käytöstä.
33.
Lisäisin vielä, että Euroopan tietosuojaneuvosto, joka on omaksunut tulkinnan, jonka mukaan yleisen tietosuoja-asetuksen 57 artiklan 4 kohta kattaa myös 77 artiklan 1 kohdan nojalla tehtyjen kantelujen käsittelyn, viittaa ensiksi mainittuun säännökseen kantelujen tutkittavaksi ottamisessa. (
11
)
34.
Tämän johdosta on niin, että vaikka tietosuoja-asetuksen 57 artiklan 4 kohtaa on tosin tulkittava suppeasti siltä osin kuin siinä säädetään maksuttomuusperiaatetta koskevasta poikkeuksesta ja poikkeuksesta valvontaviranomaisten velvollisuudesta käsitellä niille tehdyt pyynnöt, (
12
) tämä ei kuitenkaan mielestäni voi johtaa siihen, että säännöstä ei sovellettaisi asetuksen nojalla tehtyihin kanteluihin.
35.
Kolmanneksi todettakoon, että tulkinnalla, jota esitän unionin tuomioistuimelle, voidaan mielestäni saavuttaa yleisen tietosuoja-asetuksen tavoitteet. Muistutettakoon, että yleisen tietosuoja-asetuksen tarkoituksena on sen johdanto-osan 10 ja 11 perustelukappaleessa todetun tavoin varmistaa luonnollisten henkilöiden oikeuksien suojelun yhdenmukainen ja korkea taso unionissa sekä vahvistaa ja täsmentää rekisteröityjen oikeuksia. (
13
)
36.
Tulkinta, jonka mukaan kantelut kuuluvat yleisen tietosuoja-asetuksen 57 artiklan 4 kohdan soveltamisalaan, saattaa tosin ensi näkemältä näyttää olevan ristiriidassa näiden tavoitteiden ja valvontaviranomaisten velvoitteiden kanssa, kuten ennakkoratkaisua pyytänyt tuomioistuin korostaa.
37.
Kuten olen aiemmin jo todennut, yleisen tietosuoja-asetuksen 57 artiklan 1 kohdan f alakohdan nojalla jokaisen valvontaviranomaisen on alueellaan käsiteltävä kantelut, joita tämän asetuksen 77 artiklan 1 kohdan mukaan jokaisella rekisteröidyllä on oikeus tehdä, jos hän katsoo, että häntä koskevien henkilötietojen käsittelyssä rikotaan tätä asetusta, ja tutkittava siinä määrin kuin se on tarpeellista kantelun kohdetta. Valvontaviranomaisten on käsiteltävä kantelut vaaditulla huolellisuudella. (
14
)
38.
Kantelumenettely onkin suunniteltu välineeksi, jolla voidaan tehokkaasti turvata rekisteröityjen oikeudet ja intressit. (
15
)
39.
Kantelujen sisällyttäminen yleisen tietosuoja-asetuksen 57 artiklan 4 kohdan soveltamisalaan antaa valvontaviranomaiselle mahdollisuuden keventää kantelujen käsittelystä aiheutuvia velvoitteitaan ja käsitellä niitä maksuttomasti.
40.
Valvontaviranomaisen mahdollisuudella periä kohtuullinen maksu tai kieltäytyä pyynnön käsittelystä saadessaan ilmeisen perusteettomia tai kohtuuttomia pyyntöjä voidaan mielestäni varmistaa henkilötietojen suojan korkean taso.
41.
Tavoitteeseen pääsy edellyttää valvontaviranomaisten toiminnan moitteettoman sujumisen varmistamista siten, ettei sitä vaikeuteta yleisen tietosuoja-asetuksen 57 artiklan 4 kohdassa tarkoitetuilla ilmeisen perusteettomilla tai kohtuuttomilla kanteluilla. Säännöksen turvin valvontaviranomaiset voivat käsitellä kanteluja erityisellä tavalla ja keventää niiden käsittelystä mahdollisesti aiheutuvaa työtaakkaansa. Valvontaviranomaiset voivat siis päättää, että ne eivät käsittele ilmeisen perusteettomia tai kohtuuttomia kanteluita tavanomaiseen tapaan, joka saattaisi valvontaviranomaisten käytössä olevien resurssien aiheettoman kuluttamisen vuoksi vaikuttaa kielteisesti muiden rekisteröityjen samanaikaisesti tekemien pyyntöjen käsittelyn kestoon ja sujuvuuteen ja siten sen suojelun tasoon, joka rekisteröidyille on varmistettava.
42.
Kun otetaan huomioon kanteluoikeuden merkitys henkilötietojen suojan korkean tason varmistamista koskevan tavoitteen valossa sekä se, että kantelujen käsittelyllä on keskeinen asema valvontaviranomaisille osoitetuissa tehtävissä, on näin ollen tarpeen välttää kanteluoikeuden ilmeisen perusteetonta tai kohtuutonta käyttöä, joka saattaisi estää valvontaviranomaisia hoitamasta tehtäviään asianmukaisesti, jos yleisen tietosuoja-asetuksen 57 artiklan 4 kohdassa tarkoitettuja menettelyllisiä välineitä ei ole mahdollista käyttää. Tulkinta, jossa kantelut jätetään mainitun säännöksen soveltamisalan ulkopuolelle, saattaisi siten vaarantaa valvontaviranomaisten toiminnan moitteettoman sujumisen ja samalla tavoitteen varmistaa rekisteröidyille asetuksen perusteella kuuluvien oikeuksien suojan korkea taso.
43.
Panen toisaalta merkille, että mainitun säännöksen soveltamiseen on liitetty menettelyllisiä takeita, joilla voidaan asettaa tiukat puitteet sen täytäntöönpanolle valvontaviranomaisissa. Pyyntöjen ilmeistä perusteettomuutta tai kohtuuttomuutta koskeva todistustaakka on siis valvontaviranomaisella. Kohtuullisen maksun perimistä tai pyyntöjen käsittelystä kieltäytymistä koskevaa valvontaviranomaisen päätöstä vastaan voidaan lisäksi soveltaa yleisen tietosuoja-asetuksen 78 artiklan 1 kohdassa tarkoitettuja tehokkaita oikeussuojakeinoja. Samoin jos valvontaviranomainen jättää kantelun käsittelemättä tekemättä asiaa koskevaa päätöstä, rekisteröidyllä on oikeus tehokkaisiin oikeussuojakeinoihin saman asetuksen 78 artiklan 2 kohdassa säädetyn mukaisesti.
44.
Jokaisella rekisteröidyllä on yleisen tietosuoja-asetuksen 79 artiklan 1 kohdan nojalla oikeus tehokkaisiin oikeussuojakeinoihin, jos hän katsoo, että hänen asetukseen perustuvia oikeuksiaan on loukattu sen takia, ettei hänen henkilötietojensa käsittelyssä ole noudatettu kyseistä asetusta.
45.
Unionin tuomioistuin on todennut 12.1.2023 antamassaan tuomiossa Nemzeti Adatvédelmi és Információszabadság Hatóság, (
16
) että yleisen tietosuoja-asetuksen 77 artiklan 1 kohtaa, 78 artiklan 1 kohtaa ja 79 artiklan 1 kohtaa Euroopan unionin perusoikeuskirjan 47 artiklan valossa luettuina on tulkittava siten, että ne mahdollistavat yhtäältä 77 artiklan 1 kohdassa ja 78 artiklan 1 kohdassa ja toisaalta 79 artiklan 1 kohdassa tarkoitettujen oikeussuojakeinojen samanaikaisen ja itsenäisen käytön. (
17
)
46.
Ehdotan edellä esitettyjen seikkojen perusteella, että unionin tuomioistuin vastaa ensimmäiseen ennakkoratkaisukysymykseen siten, että yleisen tietosuoja-asetuksen 57 artiklan 4 kohtaan sisältyvä käsite ”pyynnöt” kattaa 57 artiklan 1 kohdan f alakohdassa ja 77 artiklan 1 kohdassa tarkoitetut ”kantelut”.
B
Toinen ennakkoratkaisukysymys
47.
Ennakkoratkaisua pyytänyt tuomioistuin kysyy toisella kysymyksellään unionin tuomioistuimelta pääasiallisesti, voidaanko pyyntöjä pitää ”kohtuuttomina” yleisen tietosuoja-asetuksen 57 artiklan 4 kohdassa tarkoitetussa merkityksessä yksistään sillä perusteella, että niitä on esitetty tietty määrä tietyn ajanjakson kuluessa, vai edellyttääkö tämä myös, että näytetään toteen pyyntöjä valvontaviranomaiselle esittäneen rekisteröidyn väärinkäyttötarkoitus.
48.
Vastatakseni kysymykseen tarkastelen ensin säännöksen sanamuotoa, jonka perusteella esitän seuraavat toteamukset.
49.
Koska ”kohtuuttomien pyyntöjen” käsitettä ei ensinnäkään määritellä yleisessä tietosuoja-asetuksessa, on syytä viitata käsitteen tavanomaiseen yleiskieliseen merkitykseen. Adjektiivilla ”kohtuuton” tarkoitetaan tavanomaisen tai kohtuullisen mittasuhteen ylittävää (”qui excède la mesure ordinaire ou raisonnable”, Larousse-sanakirja) tai toivottavan tai sallitun mittasuhteen ylittävää (”qui dépasse la mesure souhaitable ou permise”, Le Robert ‑sanakirja). Tehdä jotakin kohtuuttomasti tarkoittaa suhteetonta.
50.
Toiseksi on aiheellista tähdentää, että yleisen tietosuoja-asetuksen 57 artiklan 4 kohdan sanamuotoon sisältyy kyllä viite, kun siinä mainitaan ”– – pyynnöt[, jotka] ovat – –perusteettomia – – erityisesti siitä syystä, että niitä esitetään toistuvasti”, joten säännös antaa ymmärtää, että pyyntöjä voidaan pitää kohtuuttomina niiden toistuvuuden perusteella.
51.
Kolmanneksi totean edellä todettuun liittyen, että jos adverbilla ”erityisesti” viitataan siihen, että pyyntöjen toistuvuus on vain yksi esimerkki kohtuuttomista pyynnöistä, tämä tarkoittaa, että kohtuuttomiin pyyntöihin lasketaan myös muita kuin lukumäärään perustuvia tapauksia.
52.
Minusta ei näin ollen ole tarpeen tarkastella tyhjentävästi kaikkia esimerkkitapauksia, joissa pyyntöjä voidaan pitää ”kohtuuttomina”. Keskityn tarkastelussani pikemminkin siihen erityiseen kysymykseen, jonka ennakkoratkaisua pyytänyt tuomioistuin on esittänyt unionin tuomioistuimelle ja jolla pyritään selvittämään, mikä merkitys olisi annettava sille, että pyyntöjen toistuvuus mainitaan yhtenä esimerkkinä kohtuuttomista pyynnöistä. On siis selvitettävä, riittääkö kantelujen suuri määrä itsessään pyyntöjen pitämiseen ”kohtuuttomina” niiden toistuvuuden vuoksi.
53.
Unionin tuomioistuimen käytettävissä olevista tiedoista käy näet ilmi, että tietosuojaviranomainen nojautui juuri F R:n tietyn ajanjakson kuluessa tekemien kantelujen määrään, joita se piti liian suurena, kieltäytyessään käsittelemästä kantelua, jota se luonnehti ”kohtuuttomaksi”. Tietosuojaviranomainen toisin sanoen katsoi, että kantelujen määrän hyväksyttävä raja oli saavutettu, joten F R:n sille tekemiä kanteluita ei ollut aiheellista enää käsitellä. Tietosuojaviranomainen perusteli päätöstään myös sillä, että oli pelättävissä, että F R jatkaisi lukuisten kantelujen tekoa myös tulevaisuudessa. Tietosuojaviranomainen ei kuitenkaan ollut millään tavoin kyseenalaistanut F R:n sille siihen mennessä tekemien kantelujen aiheellisuutta.
54.
F R:n, liittovaltion oikeusministerin, Itävallan hallituksen ja komission tavoin olen sitä mieltä, että rekisteröidyn valvontaviranomaiselle tekemien pyyntöjen määrä ei suurenakaan voi, toisin kuin yleisen tietosuoja-asetuksen 57 artiklan 4 kohdan sanamuodosta voisi ensi näkemältä johtaa, yksistään olla riittävä peruste sille, että niitä voitaisiin pitää ”kohtuuttomina” mainitussa säännöksessä tarkoitetussa merkityksessä. Perustan näkemykseni säännöksen asiayhteyden tarkasteluun ja asetuksen tavoitteisiin.
55.
Yleisen tietosuoja-asetuksen 57 artiklan 4 kohdan asiayhteydestä panen merkille, että saman asetuksen 12 artiklassa vahvistetaan rekisterinpitäjän yleiset velvollisuudet tiedottamisen ja viestinnän läpinäkyvyydessä sekä rekisteröidyn oikeuksien käyttöä koskevat yksityiskohtaiset säännöt.
56.
Yleisen tietosuoja-asetuksen III luvun 2 jaksoon, joka koskee tietojen toimittamista ja henkilötietoihin pääsyä, sisältyvä 15 artikla täydentää asetuksen läpinäkyvyyden puitteita antaessaan rekisteröidylle oikeuden päästä henkilötietoihinsa ja oikeuden saada tietoja henkilötietojensa käsittelystä.
57.
Yleisen tietosuoja-asetuksen 15 artiklan 1 kohdassa säädetään, että rekisteröidyllä on oikeus saada rekisterinpitäjältä vahvistus siitä, käsitelläänkö häntä koskevia henkilötietoja, ja jos niitä käsitellään, oikeus saada tutustua henkilötietoihin sekä oikeus saada tietoja, jotka koskevat etenkin käsittelyn tarkoituksia sekä vastaanottajia tai vastaanottajaryhmiä, joille henkilötietoja on luovutettu tai on tarkoitus luovuttaa.
58.
Rekisteröidyn on voitava varmistua tiedonsaantioikeuden avulla henkilötietojensa paikkansapitävyydestä ja niiden käsittelyn lainmukaisuudesta. (
18
)
59.
Unionin tuomioistuin on täsmentänyt, että yleisen tietosuoja-asetuksen 15 artiklassa tarkoitettua tiedonsaantioikeutta tarvitaan, jotta rekisteröity voi tarvittaessa käyttää hänelle saman asetuksen 16–18 artiklalla annettuja oikeuksia tietojen oikaisemiseen, niiden poistamiseen (”oikeus tulla unohdetuksi”) ja käsittelyn rajoittamiseen, kyseisen asetuksen 21 artiklassa säädettyä henkilötietojen käsittelyn vastustamista koskevaa oikeutta sekä kyseisen asetuksen 79 ja 82 artiklassa tarkoitettuja oikeussuojakeinoja, jos hänelle aiheutuu vahinkoa. (
19
)
60.
Yleisen tietosuoja-asetuksen 15 artikla kuuluu siten säännöksiin, joilla pyritään takaamaan tiedonsaantioikeus ja henkilötietojen käsittelyä koskevien menettelytapojen läpinäkyvyys rekisteröityyn nähden, sillä ilman tätä läpinäkyvyyttä rekisteröity ei kykenisi arvioimaan tietojensa käsittelyn lainmukaisuutta ja käyttämään muun muassa kyseisen asetuksen 16–18, 21, 79 ja 82 artiklassa säädettyjä oikeuksia. (
20
)
61.
Unionin tuomioistuin on tältä kannalta jo todennut, että periaatteella, jonka mukaan ensimmäinen jäljennös henkilötiedoista on maksuton, tai sillä, ettei tiedonsaantipyynnön oikeuttamiseksi tarvitse vedota erityiseen perusteeseen, helpotetaan väistämättä rekisteröidyn mahdollisuutta käyttää hänelle yleisen tietosuoja-asetuksen nojalla kuuluvia oikeuksia. (
21
)
62.
Kun otetaan huomioon merkitys, joka yleisessä tietosuoja-asetuksessa annetaan sen tavoitteiden saavuttamisen kannalta 15 artiklan 1 kohdassa taatulle rekisteröidyn oikeudelle saada tutustua käsiteltäviin henkilötietoihinsa, oikeuden käytölle ei pitäisi asettaa liian tiukkoja edellytyksiä.
63.
Sama pätee mielestäni väistämättä myös rekisteröityjen oikeuteen tehdä yleisen tietosuoja-asetuksen 77 artiklan 1 kohtaan perustuvia kanteluita.
64.
Yleisen tietosuoja-asetuksen 12 artiklan 3 kohdan mukaan rekisterinpitäjän on toimitettava rekisteröidylle tiedot 15–22 artiklan nojalla tehdyn pyynnön johdosta toteutetuista toimenpiteistä ilman aiheetonta viivytystä ja joka tapauksessa kuukauden kuluessa pyynnön vastaanottamisesta. Jos rekisterinpitäjä ei täytä velvollisuuttaan, hänelle pyynnön esittäneen rekisteröidyn on voitava tehdä kantelu valvontaviranomaiselle, jotta tämä voi tarvittaessa vaatia kyseisen asetuksen 58 artiklan 2 kohdan c alakohdan nojalla rekisterinpitäjää noudattamaan rekisteröidyn pyyntöjä, jotta tämä voisi käyttää asetukseen perustuvia oikeuksiaan.
65.
Kun rekisteröity on osoittanut tiedonsaantipyynnön tai rekisteristä poistamista koskevan pyynnön useille rekisterinpitäjille, kuten käsiteltävässä asiassa on ilmeisesti tehty, valvontaviranomaiselle tehtyjä kanteluja on voitava mahdollisesti olla yhtä paljon kuin rekisterinpitäjien rekisteröidylle osoittamia pyynnön epääviä päätöksiä. Jos näet asetettaisiin raja-arvo, jonka ylittyessä valvontaviranomainen voisi pitää kanteluita ”kohtuuttomina” yksistään niiden lukumäärän perusteella, loukattaisiin aiemmin luettelemiani yleisellä tietosuoja-asetuksella taattuja oikeuksia.
66.
Panen merkille, että – kuten yleisen tietosuoja-asetuksen johdanto-osan 63 perustelukappaleessa todetaan – asetuksella rekisteröidyille annetaan nimenomaisesti oikeus tutustua hänestä kerättyihin henkilötietoihin ja käyttää oikeuttaan vaivattomasti ja kohtuullisin väliajoin. Tämä tarkoittaa käsitykseni mukaan sitä, että rekisteröidyt voivat käyttää oikeuttaan useita kertoja samaan rekisterinpitäjään nähden ilman että pyynnön toistuvuutta voitaisiin sellaisenaan pitää ”kohtuuttomana”. Jos yksi tai useampi rekisterinpitäjä, jolle on esitetty pyyntö useaan otteeseen, ei noudata tätä oikeutta, rekisteröityjen on voitava mielestäni tehdä yleisen tietosuoja-asetuksen 77 artiklan 1 kohdan nojalla valvontaviranomaiselle useita kanteluja, jotka koskevat yhtä tai useampaa rekisterinpitäjää.
67.
Panen merkille toisaalta, että yleisen tietosuoja-asetuksen 57 artiklan 4 kohtaan rinnastettava säännös sisältyy saman asetuksen 12 artiklan 5 kohtaan, jossa puolestaan rekisterinpitäjälle, jolle on esitetty ilmeisen perusteettomia tai kohtuuttomia pyyntöjä, annetaan mahdollisuus periä kohtuullinen maksu, jossa otetaan huomioon tietojen tai viestien toimittamisesta tai pyydettyjen toimenpiteiden toteuttamisesta aiheutuneet hallinnolliset kustannukset, tai kieltäytyä pyyntöjen käsittelystä. (
22
)
68.
Unionin tuomioistuin on todennut 26.10.2023 antamassaan tuomiossa FT (Jäljennökset potilasasiakirjoista), (
23
) että yleisen tietosuoja-asetuksen 12 artiklan 5 kohdassa säädetään periaatteesta, jonka mukaan siitä, että rekisteröity käyttää oikeuttaan tutustua tietojenkäsittelyn kohteena oleviin henkilötietoihinsa ja siihen liittyviin muihin tietoihin, ei saa aiheutua minkäänlaisia kustannuksia rekisteröidylle. Säännöksessä esitetään lisäksi kaksi syytä, joiden perusteella rekisterinpitäjä voi joko periä hallinnollisiin kustannuksiin perustuvan kohtuullisen maksun tai kieltäytyä pyynnön käsittelystä. Unioin tuomioistuimen mukaan tällaiset syyt liittyvät oikeuden väärinkäyttötilanteisiin. (
24
) Unionin tuomioistuin on pannut tämän toteamuksen perusteella merkille, että ennakkoratkaisua pyytäneen tuomioistuimen mukaan rekisteröidyn pyyntö ei merkinnyt väärinkäyttöä. (
25
)
69.
Koska yleisen tietosuoja-asetuksen 12 artiklan 5 kohta ja 57 artiklan 4 kohta on laadittu vastaavin sanamuodoin ja ne perustuvat samanlaiseen logiikkaan, jonka mukaan olisi tapauskohtaisesti pyrittävä välttämään rekisterinpitäjän tai valvontaviranomaisen toiminnan moitteetonta sujumista mahdollisesti haittaavaa suhteetonta työtaakkaa, näitä kahta säännöstä olisi mielestäni tulkittava samalla tavalla.
70.
Päättelen edellä esitetystä, että voidakseen käyttää yleisen tietosuoja-asetuksen 57 artiklan 4 kohdalla annettua mahdollisuutta valvontaviranomaisen on kunkin tapauksen merkityksellisten seikkojen perusteella näytettävä toteen, että rekisteröity menettelee väärinkäyttötarkoituksessa, (
26
) sillä rekisteröidyn tekemien kantelujen lukumäärä ei tähän yksistään riitä.
71.
Yleisen tietosuoja-asetuksen 12 artiklan 5 kohta ja 57 artiklan 4 kohta ilmentävät molemmat edellä esitetyn valossa unionin tuomioistuimen vakiintunutta oikeuskäytäntöä, jonka mukaan unionin oikeudessa on yleinen oikeusperiaate, jonka mukaan yksityiset eivät saa vedota unionin oikeussääntöihin vilpillisesti tai väärinkäyttötarkoituksessa. (
27
) Väärinkäyttönä voidaan jälkimmäisen säännöksen yhteydessä pitää menettelyä, jossa rekisteröity tekee kanteluita ilman että se olisi objektiivisesti välttämätöntä asetuksen perusteella tälle kuuluvien oikeuksien suojaamiseksi.
72.
Yleisen tietosuoja-asetuksen 57 artiklan 4 kohta ilmentää siis suhteellisuusperiaatetta: vaikka valvontaviranomaiset ovat periaatteessa velvollisia tutkimaan kunkin kantelun vaaditulla huolellisuudella, niille ei pidä aiheuttaa työtaakkaa, joka ylittäisi sen, mikä on välttämätöntä asetuksen perusteella rekisteröidyille kuuluvien oikeuksien suojaamiseksi. Valvontaviranomaiset voivat siis säännöksen turvin sovittaa yhteen kantelujen tekijöiden ja hyvän hallinnon intressit.
73.
Lisäisin vielä, että – kuten olen aiemmin jo todennut – yleisen tietosuoja-asetuksen 57 artiklan 4 kohtaa on tulkittava suppeasti, mikä tarkoittaa, että sen täytäntöönpano on rajattava siihen, mikä on ehdottoman välttämätöntä valvontaviranomaisten toiminnan moitteettoman sujumisen, mikä on kyseisen säännöksen tavoitteena, häiriintymisen estämiseksi. Tiukka tulkinta näyttää kuitenkin minusta sulkevan pois sen, että kantelujen määrä voisi suurenakaan yksistään riittää oikeuttamaan sitä, että valvontaviranomainen soveltaa tätä säännöstä.
74.
Perusoikeuskirjan 8 artiklan 3 kohdan mukaan henkilötietojen suojaa koskevien sääntöjen noudattamista valvoo riippumaton viranomainen. Jäsenvaltioiden velvollisuutena on tällöin yleisen tietosuoja-asetuksen 52 artiklan 4 kohdan mukaan varmistaa, että kullekin valvontaviranomaiselle osoitetaan niiden tehtävien tehokkaan hoidon ja valtuuksien tehokkaan käytön edellyttämät henkilöstöresurssit sekä tekniset ja taloudelliset resurssit. Tästä syystä resursseja on mukautettava sen mukaan, miten rekisteröidyt käyttävät oikeuttaan tehdä kanteluja valvontaviranomaisille. Koska unionin lainsäätäjä on halunnut, kuten yleisen tietosuoja- asetuksen 57 artiklan 2 kohdasta ilmenee, helpottaa kantelujen tekoa ja siten kannustaa niihin, olisi ristiriitaista, että se olisi samalla antanut valvontaviranomaisille mahdollisuuden kieltäytyä kantelujen käsittelystä, jos nämä pitävät niiden määrää liian suurena.
75.
Jotta voidaan näyttää toteen pyyntöjen kohtuuttomuus niiden toistuvuuden perusteella, ei siis riitä, että valvontaviranomainen on saanut rekisteröidyltä huomattavan paljon enemmän kanteluita kuin rekisteröidyiltä kesimäärin siten, että kantelujen käsittelystä aiheutuisi valvontaviranomaiselle keskimääräistä suurempi työtaakka. Jäsenvaltioiden tehtävänä on näet tarjota valvontaviranomaisille kaikkien näille tehtyjen kantelujen käsittelyyn soveltuvat välineet tarvittaessa välineiden määrää lisäämällä, jotta niitä voidaan mukauttaa sen mukaan, miten rekisteröidyt käyttävät yleisen tietosuoja-asetuksen 77 artiklan 1 kohtaan perustuvaa kanteluoikeuttaan. Kieltäytyessään yleisen tietosuoja-asetuksen 57 artiklan 4 kohdan nojalla käsittelemästä kantelua valvontaviranomainen ei siis voi vedota kieltäytymisensä tueksi siihen, että runsaasti kanteluita tekevä rekisteröity kuluttaa sen resursseja huomattavissa määrin muiden rekisteröityjen tekemien kantelujen käsittelyn kustannuksella.
76.
Lisäksi on niin, että yleisen tietosuoja-asetuksen 77 artiklan 1 kohtaan perustuvilla kanteluilla on tärkeä osa siinä, että valvontaviranomaiset saavat tietää asetuksella suojattujen oikeuksien loukkauksista. (
28
) Kanteluilla on siten oleellinen merkitys sen kannalta, että valvontaviranomaiset voivat hoitaa kunnolla tehtäväänsä varmistaa asetuksen moitteeton täytäntöönpano. Kanteluilla voidaankin edistää merkittävästi rekisteröityjen yhdenmukaisen ja korkeatasoisen suojelun varmistamista unionissa sekä rekisteröityjen oikeuksien vahvistamista ja selkiyttämistä.
77.
Mainittu tavoite saattaisi mielestäni vaarantua, jos valvontaviranomaiset voisivat pitää kanteluja kohtuuttomina yksistään niiden suuren määrän perusteella. Kuten edellä jo totesin, kantelujen runsaus voi johtua suoraan siitä, että yksi tai useampi rekisterinpitäjä ei ole vastannut rekisteröidyn oikeuksiensa turvaamiseksi esittämiin tiedonsaantipyyntöihin tai on kieltäytynyt niiden käsittelystä. On myös vaikeaa asettaa määrällistä raja-arvoa, jonka ylittyessä kanteluja voitaisiin pitää ”kohtuuttomina” niiden lukumäärän perusteella. Kantelujen lukumäärän huomioon ottaminen asiayhteydestä irrotettuna voisi merkitä mielivaltaista puuttumista rekisteröidyn asetuksen perusteella nauttimaan oikeussuojaan. Kohtuuttomina pyyntöinä pitämisen edellytykseksi olisi mielestäni siten asetettava se, että näytetään toteen kantelujen tekijän väärinkäyttötarkoitus.
78.
Edellä esitetystä seuraa, että jos sääntönä on, että valvontaviranomaisten on käsiteltävä niille tehdyt kantelut vaaditulla huolellisuudella, kyseisillä viranomaisilla pitäisi mielestäni olla mahdollisuus hyödyntää yleisen tietosuoja-asetuksen 57 artiklan 4 kohtaa vain poikkeustapauksissa etenkin kun 77 artiklan 1 kohtaan perustuvan kanteluoikeuden käytöstä aiheutuvan työmäärän ja rekisteröidyn intressin huomioon ottamisella ei lähtökohtaisesti ole merkitystä oikeuden käytön mukauttamisen kannalta. (
29
) Poikkeuksia valvontaviranomaisten velvollisuudesta käsitellä kantelut olisi siis tulkittava suppeasti siten, että kanteluilla saavutettava yleinen etu ja kantelujen käsittelystä kieltäytymisellä saavutettava intressi saatetaan keskenään tasapainoon. (
30
)
79.
Lukuisia kanteluita käsittelevän valvontaviranomaisen tehtävänä on siis osoittaa kullekin tapaukselle ominaisten seikkojen perusteella, ettei kantelujen määrä ole perusteltavissa rekisteröidyn pyrkimyksellä saada suojaa yleisen tietosuoja-asetuksen perusteella hänelle kuuluville oikeuksille vaan jollakin muulla oikeussuojaan liittymättömällä päämäärällä. Tämä pätee etenkin silloin, kun asian olosuhteista käy ilmi, että lukuisilla kanteluilla on tarkoitus haitata valvontaviranomaisen toiminnan moitteetonta sujumista kuluttamalla tämän resursseja perusteettomasti.
80.
Kantelujen runsaus voi olla osoitus rekisteröidyn kohtuuttomista pyynnöistä, jos näyttää, ettei kanteluja voida objektiivisesti perustella rekisteröidylle yleisen tietosuoja-asetuksen perusteella kuuluvien oikeuksien suojaan liittyvillä syillä. Tällainen tilanne voi olla esimerkiksi silloin, kun kantelut kohdistuvat samaan rekisterinpitäjään, niillä kaikilla on sama sisältö, ne koskevat samoja yleiseen tietosuoja-asetukseen perustuvia velvoitteita ja ne on tehty kohtuuttoman lyhyin väliajoin niin, että niitä ei voida perustella tosiseikkojen muuttumisella, mikä olisi osoitus rekisteröidyn aikomuksesta haitata valvontaviranomaisen toiminnan moitteetonta sujumista sen sijaan, että hänen pyrkimyksenään olisi saada suojaa asetuksen perusteella hänelle kuuluville oikeuksille. Toinen toistuvuuteensa perusteella kohtuuttomina pidettäviä pyyntöjä koskeva tapaus voisi syntyä tilanteessa, jossa rekisteröity tekee valvontaviranomaiselle niin paljon kanteluita lukuisista eri rekisterinpitäjistä, joihin hänellä ei ole välttämättä yhteyttä, että tämänkaltaisesta kanteluoikeuden kohtuuttomasta käytöstä ilmenee yhdessä muiden seikkojen, kuten kantelujen sisällön ohella, hänen aikomuksensa lamaannuttaa valvontaviranomaisen työ lukuisilla pyynnöillään.
81.
Ennakkoratkaisua pyytäneen tuomioistuimen tehtävänä on edellä esitettyjen seikkojen perusteella selvittää, saattoiko tietosuojaviranomainen perustellusti todeta, että kyse oli yleisen tietosuoja-asetuksen 57 artiklan 4 kohdassa tarkoitetuista ”kohtuuttomista pyynnöistä”.
82.
Muistutan, että F R:n tekemät 77 kantelua olivat peräisin hänen eri rekisterinpitäjille esittämistä tiedonsaantipyynnöistä tai rekisteristä poistamista koskevista pyynnöistä, joiden valta-osaan hän ei saanut vastausta kuukauden sisällä. Tämän lisäksi F R oli ottanut tietosuojaviranomaiseen säännöllisesti yhteyttä puhelimitse selvittääkseen, voisivatko tietyt tosiseikat antaa aihetta kanteluihin.
83.
Koska F R teki alinomaa uusia kanteluita, joiden kokonaismäärä oli tietosuojaviranomaisen mielestä huomattava, rekisteröity käytti tietosuojaviranomaisen mukaan valvontaviranomaisen rajallisia henkilöstöresursseja noin puolentoista vuoden ajan suhteettomasti hyväkseen vähemmän kanteluita tekeviin muihin rekisteröityihin verrattuna. Kantelujen määrän kasvu sekä F R:n ja tietosuojaviranomaisen väliset puhelinkeskustelut enteilivät lisäksi tietosuojaviranomaisen mielestä sitä, että rekisteröity ottaisi valvontaviranomaiseen yhteyttä lukuisia kertoja myös tulevaisuudessa. Tietosuojaviranomaisen mukaan edellä mainittuja 77:ää kantelua oli siis pidettävä ”kohtuuttomina” yleisen tietosuoja-asetuksen 57 artiklan 4 kohdassa tarkoitetussa merkityksessä.
84.
Luulen, että tämä ei ole riittävä perustelu kantelujen pitämiseen kohtuuttomina, koska perustelusta ei käy ilmi, että F R olisi menetellyt väärinkäyttötarkoituksessa, toisin sanoen että hän ei olisi menettelyllään pyrkinyt saamaan suojaa yleisen tietosuoja-asetuksen perusteella hänelle kuuluville oikeuksilleen vaan olisi pyrkinyt johonkin muuhun päämäärään tarkoituksenaan haitata valvontaviranomaisen toiminnan moitteetonta sujumista. Tietosuojaviranomaisen ennusteet siitä, että F R saataisi myös tulevaisuudessa tehdä lukemattomia kanteluja, tai sen maininta rajallisista henkilöstöresursseistaan eivät myöskään vaikuta minusta merkityksellisiltä seikoilta.
85.
Edellä esitetystä seuraa, että yleisen tietosuoja-asetuksen 57 artiklan 4 kohtaa on tulkittava mielestäni siten, että pyyntöjä ei voida pitää ”kohtuuttomina” tässä säännöksessä tarkoitetussa merkityksessä yksistään sillä perusteella, että niitä on esitetty tietty määrä tietyn ajanjakson kuluessa, koska myös valvontaviranomaisen tehtävänä on osoittaa pyyntöjä tehneen rekisteröidyn väärinkäyttötarkoitus.
C
Kolmas ennakkoratkaisukysymys
86.
Ennakkoratkaisua pyytänyt tuomioistuin kysyy kolmannella kysymyksellään pääasiallisesti, onko yleisen tietosuoja-asetuksen 57 artiklan 4 kohtaa tulkittava siten, että saadessaan kohtuuttomia pyyntöjä valvontaviranomainen voi valita vapaasti joko periä hallinnollisiin kustannuksiin perustuvan kohtuullisen maksun tai kieltäytyä pyyntöjen käsittelystä. Mikäli vastaus on kieltävä, tuomioistuin tiedustelee, mitä perusteita valvontaviranomaisen on otettava huomioon, ja erityisesti, onko valvontaviranomainen velvollinen perimään ensisijaisesti kustannuksiin perustuvan maksun pikemminkin kuin että se kieltäytyisi pyynnön käsittelystä.
87.
Säännöksen sanamuodon tarkastelun perusteella voin todeta, että kaksi vaihtoehtoa eli hallinnollisiin kustannuksiin perustuva kohtuullinen maksu tai kieltäytyminen kohtuuttomien pyyntöjen käsittelystä mainitaan peräkkäin rinnastuskonjunktiolla ”tai” erotettuna, joten säännöksen sanamuodon perusteella ei voida päätellä vaihtoehtojen välistä etusijajärjestystä. (
31
)
88.
Sanamuodossa siis asetetaan samanarvoiseen asemaan valvontaviranomaisen käytettävissä olevat kaksi vaihtoehtoa, mikä näyttää tukevan tulkintaa, jonka mukaan valvontaviranomaisella on saamiensa pyyntöjen kohtuuttomuuden todettuaan vapaus valita joko periä kohtuullinen maksu tai kieltäytyä pyyntöjen käsittelystä.
89.
Yleisen tietosuoja-asetuksen 57 artiklan 4 kohdan asiayhteyden ja asetuksen tavoitteiden valossa valvontaviranomainen ei kuitenkaan voi käyttää valintaoikeuttaan harkinnanvaltaisesti tai perusteettomasti. Kun otetaan huomioon kanteluoikeuden merkitys henkilötietojen suojan korkean tason varmistamista koskevan tavoitteen kannalta, kantelujen käsittelyn keskeinen asema valvontaviranomaisille osoitetuissa tehtävissä sekä valvontaviranomaisten velvollisuus käsitellä kantelut vaaditulla huolellisuudella, valvontaviranomaisten on otettava huomioon kaikki asian merkitykselliset seikat sekä varmistettava valitun vaihtoehdon asianmukaisuus ja oikeasuhteisuus. Arviointia koskevat seikat on sisällytettävä kanteluja käsittelevän valvontaviranomaisen päätöksen perusteluihin.
90.
Valvontaviranomainen voisi asian merkityksellisten seikkojen mukaan ja sen toiminnan moitteetonta sujumista mahdollisesti haittaavan väärinkäyttöä tarkoittavan menettelyn lopettamiseksi katsoa aiheelliseksi periä kohtuuttomien kantelujen aiheuttamasta lisätyöstä syntyneisiin hallinnollisiin kustannuksiin perustuvan kohtuullisen maksun. Tämän vaihtoehdon varoittavuus saattaisi nimittäin saada valvontaviranomaisen suosimaan tätä vaihtoehtoa sen sijaan että se kieltäytyisi välittömästi kantelujen käsittelystä.
91.
Lisäisin vielä, että suhteellisuusperiaatteen ja henkilötietojen suojan korkean tason varmistamista koskevan tavoitteen pitäisi niin ikään kannustaa valvontaviranomaisia harkitsemaan hallinnollisiin kustannuksiin perustuvaa kohtuullista maksua kantelujen käsittelystä kieltäytymisen sijasta, sillä tämä olisi yleiseen tietosuoja-asetukseen perustuvia rekisteröityjen oikeuksia vähemmän loukkaava toimenpide.
92.
Yleisen tietosuoja-asetuksen 57 artiklan 4 kohtaa ei kuitenkaan voida käsittääkseni tulkita siten, että valvontaviranomainen olisi kaikissa tapauksissa velvollinen valitsemaan ensisijaisesti kohtuullisen maksun perimistä tarkoittavan vaihtoehdon.
93.
Yleisen tietosuoja-asetuksen 57 artiklan 4 kohtaa onkin mielestäni tulkittava siten, että saadessaan kohtuuttomia pyyntöjä valvontaviranomainen voi perustellulla päätöksellä valita joko periä hallinnollisiin kustannuksiin perustuvan kohtuullisen maksun tai kieltäytyä pyyntöjen käsittelystä, jolloin sen on otettava huomioon asian kaikki merkitykselliset seikat sekä varmistettava valitun vaihtoehdon asianmukaisuus ja oikeasuhteisuus, mutta kummallakaan näistä kahdesta vaihtoehdosta ei ole etusijaa.
IV Ratkaisuehdotus
94.
Kaiken edellä esitetyn perusteella ehdotan, että unionin tuomioistuin vastaa Verwaltungsgerichtshofin (ylin hallintotuomioistuin, Itävalta) esittämiin kysymyksiin seuraavasti:
Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) 57 artiklan 4 kohtaa
on tulkittava seuraavasti:
–
mainitussa säännöksessä tarkoitettu käsite ”pyynnöt” kattaa myös 57 artiklan 1 kohdan f alakohdassa ja 77 artiklan 1 kohdassa tarkoitetut kantelut
–
pyyntöjä ei voida pitää ”kohtuuttomina” yleisen tietosuoja-asetuksen 57 artiklan 4 kohdassa tarkoitetussa merkityksessä yksistään sillä perusteella, että niitä on esitetty tietty määrä tietyn ajanjakson kuluessa, koska myös valvontaviranomaisen tehtävänä on osoittaa pyyntöjä esittäneen rekisteröidyn väärinkäyttötarkoitus
–
saadessaan kohtuuttomia pyyntöjä valvontaviranomainen voi perustellulla päätöksellä valita joko periä hallinnollisiin kustannuksiin perustuvan kohtuullisen maksun tai kieltäytyä pyyntöjen käsittelystä, jolloin sen on otettava huomioon asian kaikki merkitykselliset seikat sekä varmistettava valitun vaihtoehdon asianmukaisuus ja oikeasuhteisuus, mutta kummallakaan näistä kahdesta vaihtoehdosta ei ole etusijaa.
(
1
)	Alkuperäinen kieli: ranska.
(
2
)	EUVL 2016, L 119, s. 1.
(
3
)	Ennakkoratkaisupyynnön esittämistä koskevan päätöksen sisältämien tietojen mukaan 4 kantelua koskee vuotta 2018, 53 kantelua vuotta 2019, ja 20 kantelua tehtiin vuoden 2020 ensimmäisellä neljänneksellä. F R oli vedonnut 46 tapauksessa rekisteristä poistamista koskevaan oikeuteen ja 29 tapauksessa tietoihin tutustumista koskevaan oikeuteen.
(
4
)	Koska yleisen tietosuoja-asetuksen 57 artiklan 1 kohdan f alakohta on tavallaan 77 artiklan 1 kohdan peilikuva, on mielestäni aiheellista lisätä se niihin säännöksiin, joiden tulkintaa ennakkoratkaisua pyytänyt tuomioistuin pyytää.
(
5
)	Ks. muun muassa tuomio 4.5.2023, Österreichische Post (Henkilötietojen käsittelyyn liittyvä aineeton vahinko) (C‑300/21, EU:C:2023:370, 29 kohta oikeuskäytäntöviittauksineen).
(
6
)	Ks. muun muassa tuomio 4.5.2023, Österreichische Datenschutzbehörde ja CRIF (C‑487/21, EU:C:2023:369, 19 kohta oikeuskäytäntöviittauksineen); tuomio 7.12.2023, SCHUFA Holding (Jäännösveloista vapauttaminen) (C‑26/22 ja C‑64/22, EU:C:2023:958, 48 kohta oikeuskäytäntöviittauksineen), sekä tuomio 30.4.2024, Trade Express-L ja DEVNIA TSIMENT (C‑395/22 ja C‑428/22, EU:C:2024:374, 65 kohta oikeuskäytäntöviittauksineen).
(
7
)	Kursivointi tässä.
(
8
)	Kursivointi tässä.
(
9
)	Kursivointi tässä.
(
10
)	Itävallan hallitus toteaa, että kantelujen käsittely edustaa määrällisesti suurinta osaa valvontaviranomaisten työtaakasta.
(
11
)	Ks. Internal EDPB Document 6/2020 on preliminary steps to handle a complaint: admissibility and vetting of complaints, hyväksytty 15.12.2020, 15 kohta.
(
12
)	Ks. erityisesti yleisen tietosuoja-asetuksen säännöksissä tarkoitettujen poikkeusten suppeasta tulkinnasta tuomio 16.1.2024, Österreichische Datenschutzbehörde (C‑33/22, EU:C:2024:46, 37 kohta oikeuskäytäntöviittauksineen).
(
13
)	Ks. tuomio 26.10.2023, FT (Jäljennökset potilasasiakirjoista) (C‑307/22, EU:C:2023:811, 47 kohta).
(
14
)	Ks. muun muassa tuomio 6.10.2015, Schrems (C‑362/14, EU:C:2015:650, 63 kohta) sekä tuomio 7.12.2023, SCHUFA Holding (Jäännösveloista vapauttaminen) (C‑26/22 ja C‑64/22, EU:C:2023:958, 56 kohta oikeuskäytäntöviittauksineen).
(
15
)	Ks. muun muassa tuomio 7.12.2023, SCHUFA Holding (Jäännösveloista vapauttaminen) (C‑26/22 ja C‑64/22, EU:C:2023:958, 58 kohta oikeuskäytäntöviittauksineen).
(
16
)	C‑132/21, EU:C:2023:2.
(
17
)	Ks. tuomio 12.1.2023, Nemzeti Adatvédelmi és Információszabadság Hatóság (C‑132/21, EU:C:2023:2, 57 kohta).
(
18
)	Ks. muun muassa tuomio 26.10.2023 annettu tuomio, FT (Jäljennökset potilasasiakirjoista) (C‑307/22, EU:C:2023:811, 73 kohta oikeuskäytäntöviittauksineen).
(
19
)	Ks. muun muassa tuomio 22.6.2023, Pankki S (C‑579/21, EU:C:2023:501, 58 kohta oikeuskäytäntöviittauksineen).
(
20
)	Ks. muun muassa tuomio 22.6.2023, Pankki S (C‑579/21, EU:C:2023:501, 59 kohta oikeuskäytäntöviittauksineen).
(
21
)	Ks. muun muassa tuomio 26.10.2023, FT (Jäljennös potilasasiakirjoista) (C‑307/22, EU:C:2023:811, 50 kohta).
(
22
)	Ks. yleisen tietosuoja-asetuksen 12 artiklan 5 kohdan osalta Euroopan tietosuojaneuvoston rekisteröityjen oikeuksista 28.3.2023 hyväksymien ohjeiden 01/2022 – oikeus tutustua tietoihin – 175–19 kohta.
(
23
)	C‑307/22, EU:C:2023:811.
(
24
)	Ks. tuomio 26.10.2023, FT (Jäljennökset potilasasiakirjoista) (C‑307/22, EU:C:2023:811, 31 kohta).
(
25
)	Ks. tuomio 26.10.2023, FT (potilasasiakirjojen jäljennökset) (C‑307/22, EU:C:2023:811, 32 kohta).
(
26
)	Ks. käsitteen ”oikeuden väärinkäyttö” osalta julkisasiamies Szpunarin ratkaisuehdotus asiassa McCarthy ym. (C‑202/13, EU:C:2014:345, 108–114 kohta) sekä henkilötietosuojalainsäädännöllä annettujen oikeuksien väärinkäytöstä julkisasiamies Kokottin ratkaisuehdotus asiassa Nowak (C‑434/16, EU:C:2017:582, 42–50 kohta).
(
27
)	Ks. erityisesti tuomio 21.12.2023, BMW Bank ym. (C‑38/21, C‑47/21 ja C‑232/21, EU:C:2023:1014, 281 kohta oikeuskäytäntöviittauksineen).
(
28
)	Ks. Hijmans, H., ”Article 57. Tasks” teoksessa Kuner, C., Bygrave, L. A., Docksey, C., ja Drechsler, L., The EU General Data Protection Regulation (GDPR): A Commentary, Oxford University Press USA, New York, 2020, s. 927–938, erityisesti s. 935.
(
29
)	Ks. analogisesti pääsystä asiakirjoihin tuomio 26.10.2011, Dufour vs. EKP (T‑436/09, EU:T:2011:634, 122 kohta).
(
30
)	Ks. analogisesti ympäristötietojen julkisen saatavuuden osalta tuomio 20.1.2021, Land Baden-Württemberg (Sisäiset asiakirjat) (C‑619/19, EU:C:2021:35, 33 kohta oikeuskäytäntöviittauksineen).
(
31
)	Ks. analogisesti tuomio 12.1.2023, Österreichische Post (Henkilötietojen vastaanottajiin liittyvät tiedot) (C‑154/21, EU:C:2023:3, 31 kohta).