62022TO0578_RES
Asia T-578/22
Euroopan tietosuojavaltuutettu
vastaan
Euroopan parlamenttijaEuroopan unionin neuvosto
Unionin yleisen tuomioistuimen määräys (laajennettu ensimmäinen jaosto) 6.9.2023
Kumoamiskanne – Toimielimiä koskeva oikeus – Europolin suorittama henkilötietojen käsittely – Asetus (EU) 2016/794 – Euroopan tietosuojavaltuutetun institutionaaliset oikeudet – Asiavaltuus – Kanne, jonka tutkittavaksi ottamisen edellytykset osittain puuttuvat ja osittain selvästi puuttuvat
Kumoamiskanne – Unionin tuomioistuinten toimivalta – Unionin elimen nostama kanne – Euroopan tietosuojavaltuutetun nostama kanne – Asiavaltuus, joka koskee tietosuojavaltuutetun oikeuksien turvaamista ja johon on vedottu kyseisen kanteen tueksi
(SEUT 263 artikla; parlamentin ja neuvoston asetuksen nro 45/2001 41 artiklan 1 kohta)
(ks. 26–36 kohta)
Kumoamiskanne – Luonnolliset henkilöt tai oikeushenkilöt – Oikeussuojan tarve – Asiavaltuus – Euroopan tietosuojavaltuutetun nostama kanne – Asiavaltuus, joka koskee tietosuojavaltuutetun oikeuksien turvaamista – Ei ole – Tutkittavaksi ottamisen edellytyksenä on asiavaltuuden ja oikeussuojan tarpeen osoittaminen
(SEUT 263 artiklan neljäs kohta)
(ks. 41–48 ja 54–57 kohta)
Kumoamiskanne – Asiavaltuus – Oikeushenkilöt – Käsite – Euroopan tietosuojavaltuutettu – Unionin elin – Kuuluminen soveltamisalaan – Edellytykset
(SEUT 263 artiklan neljäs kohta)
(ks. 60–65 kohta)
Kumoamiskanne – Luonnolliset henkilöt tai oikeushenkilöt – Suoraan ja erikseen luonnollisia henkilöitä tai oikeushenkilöitä koskevat toimet – Säännökset, jotka koskevat Europolin suorittamaa henkilötietojen käsittelyä – Euroopan tietosuojavaltuutetun antama päätös, joka koskee Europolia – Kyseiset säännökset eivät vaikuta mainittuun päätökseen ja tietosuojavaltuutetun toimivaltaan – Kyseiset säännökset eivät koske kantajaa suoraan – Tutkimatta jättäminen
(SEUT 16 artiklan 2 kohta ja SEUT 263 artiklan neljäs kohta; parlamentin ja neuvoston asetuksen 2016/794, sellaisena kuin se on muutettuna asetuksella 2022/991, 74 a ja 74 b artikla)
(ks. 66, 68–76, 78–82, 84 ja 85 kohta)
Tiivistelmä
Euroopan tietosuojavaltuutettu antoi oma-aloitteisen tutkinnan jälkeen 3.1.2022 päätöksen, joka koski Euroopan unionin lainvalvontayhteistyövirastoa (Europol). (
1
) Kyseisessä päätöksessä tietosuojavaltuutettu pääasiallisesti kehotti Europolia luokittelemaan rekisteröidyt jokaisen 4.1.2022 alkaen vastaanotetun osuuden osalta kuuden kuukauden kuluessa osuuden vastaanottamisesta ja 12 kuukauden kuluessa kaikkien päätöksen tekohetkellä olemassa olleiden tietojen osalta, ja näiden määräaikojen jälkeen Europolin oli poistettava kyseiset tiedot.
Euroopan parlamentti ja Euroopan unionin neuvosto antoivat 8.6.2022 muutetun Europol-asetuksen. (
2
) Tässä asetuksessa säädetään pääasiallisesti kahden siirtymäsäännöksen (
3
) nojalla, millä edellytyksin Europolin on tietyssä määräajassa luokiteltava kaikki tiedot, jotka ovat sen hallussa muutetun Europol-asetuksen tullessa voimaan, ja niissä täsmennetään, millä edellytyksin ja mitä menettelyjä noudattaen Europolille ennen 28.6.2022 toimitettujen muihin kuin muutetun Europol-asetuksen liitteessä II lueteltuihin rekisteröityjen ryhmiin liittyvien henkilötietojen käsittely hyväksytään vireillä olevan rikostutkinnan tukemiseksi.
Tietosuojavaltuutetun mukaan riidanalaisilla säännöksillä loukattiin sen riippumattomuutta ja toimivaltuuksia valvontaviranomaisena, koska sen mukaan niillä laillistettiin taannehtivasti riidanalaisten tietojen säilyttämistä koskevat Europolin käytännöt ja kumottiin tosiasiassa 3.1.2022 annettu päätös. Näin ollen tietosuojavaltuutettu vaati SEUT 263 artiklan nojalla, että unionin yleinen tuomioistuin kumoaa kyseiset säännökset. Se väitti, että sen asiavaltuus perustui siihen, että sillä oli oltava oikeus oikeussuojakeinoihin suojellakseen sen institutionaalisia oikeuksia ja erityisesti sen riippumattomuutta valvontaviranomaisena.
Nyt käsiteltävässä asiassa tietosuojavaltuutettu saattoi unionin yleisen tuomioistuimen käsiteltäväksi ensimmäistä kertaa kanteen, jolla se vaati, että neuvoston ja parlamentin lainsäädäntötoimi kumotaan, jolloin esiin nousi erityisesti kysymykset unionin yleisen tuomioistuimen toimivallasta tutkia kyseinen kanne, tuomion parlamentti v. neuvosto (C-70/88) (
4
) soveltamisesta analogisesti tässä tapauksessa, ja siitä, koskivatko kyseessä olevat säännökset tietosuojavaltuutettua, joka rinnastetaan SEUT 263 artiklan neljännen kohdan nojalla oikeushenkilöön, suoraan.
Unionin yleisen tuomioistuimen arviointi asiasta
Unionin yleinen tuomioistuin tutkii ensin, onko sillä toimivalta tutkia tietosuojavaltuutetun nostama kanne, ja se toteaa aluksi, että tietosuojavaltuutettu ei ole niiden kantajien joukossa, jotka mainitaan SEUT 263 artiklan toisessa ja kolmannessa kohdassa, (
5
) eikä myöskään SEU 13 artiklan 1 kohdassa tarkoitetussa toimielinten luettelossa. (
6
) Sen jälkeen se toteaa, että vaikka SEUT 263 artiklan ensimmäisessä kohdassa viitataan nimenomaan unionin elimiin ja laitoksiin luettelossa sellaisten säädösten, joiden laillisuus voidaan kyseenalaistaa kumoamiskanteella, laatijoista, tämä ei päde siltä osin kuin on kyse SEUT 263 artiklan toisesta ja kolmannesta kohdasta. Siten se täsmentää, että vaikka tietosuojavaltuutetun asema riippumattomana valvontaviranomaisena taatan sekä EUT-sopimuksessa että perusoikeuskirjassa, (
7
) se on perustettu unionin elimeksi johdetun oikeuden säädöksen (
8
) eikä primaarioikeuden nojalla. Vaikka tietosuojavaltuutettu on unionin elin, jolla on erityisasema, se ei ole unionin toimielin, eikä sen missään tapauksessa voida katsoa kuuluvan SEUT 263 artiklan toisessa ja kolmannessa kohdassa tarkoitettujen kantajien joukkoon. Lopuksi unionin yleinen tuomioistuin toteaa, että se on toimivaltainen lausumaan kanteesta, koska SEUT 263 artiklassa tarkoitetut kanteet, jotka unionin toimielin nostaa säädöksestä, (
9
) kuuluvat ainoastaan unionin tuomioistuimen toimivaltaan, ja koska tietosuojavaltuutettu ei ole toimielin eikä SEUT 263 artiklan toisessa ja kolmannessa kohdassa tarkoitettu kantaja.
Toiseksi unionin yleinen tuomioistuin arvioi, onko tietosuojavaltuutetulla asiavaltuus tuomioon parlamentti v. neuvosto (C-70/88) perustuvan oikeuskäytännön nojalla. Se toteaa, että kyseisessä tuomiossa, johon tietosuojavaltuutettu vetoaa erityisen asiavaltuuteensa, joka koskee sen institutionaalisten oikeuksien turvaamista, tueksi, unionin tuomioistuin totesi, että parlamentti ei voinut riitauttaa unionin tuomioistuimissa muiden toimielinten antamia säädöksiä, jotka saattoivat loukata sen omia oikeuksia, ja tuomioistuin päätti korjata tämän puutteen soveltamalla toimielinten välisen tasapainon yleistä periaatetta. Tietosuojavaltuutettu voi sen sijaan nostaa kumoamiskanteen SEUT 263 artiklan neljännen kohdan nojalla, koska se on elin, joka on perustettu unionin johdetun oikeuden säädöksellä ja joka voidaan rinnastaa oikeushenkilöön. Lisäksi unionin yleinen tuomioistuin täsmentää, että vaikka tietosuojavaltuutetulla on erityisasema, joka tunnustetaan sekä EUT-sopimuksessa että perusoikeuskirjassa, ja riippumattomien valvontaviranomaisten perustaminen on olennainen osa yksilöiden suojaa siltä osin kuin on kyse henkilötietojen suojasta, sen, että tietosuojavaltuutetun on käytännössä harjoitettava toimintaansa riippumattomasti, tarkoituksena ei ole rajoittaa unionin lainsäätäjän toimivaltaa. (
10
) Näin ollen tietosuojavaltuutetun on suoritettava tehtävänsä ja käytettävä toimivaltaansa riippumattomasti, ja se valvoo parlamentin ja neuvoston yhdessä antamien säädösten puitteissa ja niiden mukaisesti, että luonnollisten henkilöiden suojaa koskevia sääntöjä, jotka koskevat unionin toimielinten, elinten ja laitosten suorittamaa henkilötietojen käsittelyä, noudatetaan. Unionin yleinen tuomioistuin toteaa, että tuomiota parlamentti v. neuvosto (C-70/88) ei voida soveltaa analogisesti tietosuojavaltuutetun tilanteeseen eikä tietosuojavaltuutettu voi saada asiavaltuutta tämän tuomion nojalla, vaan sitä on pidettävä kantajana, jonka on täytettävä SEUT 263 artiklan neljännessä kohdassa tarkoitetut edellytykset.
Kolmanneksi unionin yleinen tuomioistuin arvioi tutkiessaan sitä, onko tietosuojavaltuutetulla asiavaltuus SEUT 263 artiklan neljännen kohdan nojalla, voidaanko tietosuojavaltuutettu unionin elimenä rinnastaa kyseisessä määräyksessä tarkoitettuun oikeushenkilöön. Se toteaa, että tulkittaessa kyseistä määräystä tehokkaan tuomioistuinvalvonnan ja oikeusvaltion periaatteiden valossa, tietosuojavaltuutetun kaltaisella unionin elimellä on ”oikeushenkilönä” asiavaltuus nostaa kumoamiskanne riidanalaisista säännöksistä edellyttäen, että ne koskevat häntä suoraan ja erikseen kyseisessä määräyksessä tarkoitetulla tavalla. Unionin toimi voi nimittäin vaikuttaa kielteisesti tällaisen oikeushenkilön oikeuksiin tai etuihin yhtä paljon kuin muun henkilön tai yhteisön oikeuksiin tai etuihin, ja sen on näin ollen voitava vaatia tällaisen toimen kumoamista näitä edellytyksiä noudattaen.
Unionin yleinen tuomioistuin muistuttaa, että kahden kriteerin on täytyttävä kumulatiivisesti sen edellytyksen osalta, jonka mukaan toimen on koskettava suoraan oikeushenkilöä. Siltä osin kuin on ensinnäkin kyse edellytyksestä, joka koskee riidanalaisten säännösten vaikutusta tietosuojavaltuutetun oikeusasemaan, unionin yleinen tuomioistuin korostaa, että tietosuojavaltuutetun tehtävänä on valvoa, miten unionin toimielimet, elimet ja laitokset soveltavat asian kannalta merkityksellisiä henkilötietojen suojaa koskevia sääntöjä. (
11
) Nyt käsiteltävässä asiassa riidanalaisilla säännöksillä muutetaan alkuperäistä Europol-asetusta eivätkä ne vaikuta unionin lainsäädännöllä tietosuojavaltuutetulle annettujen tehtävien luonteeseen tai ulottuvuuteen. Näin ollen unionin yleinen tuomioistuin toteaa, että vaikka on totta, että sitä oikeudellista järjestelmää, jota tietosuojavaltuutettu valvoo, on muutettu, sen omia toimivaltuuksia ei ole muutettu, koska tapaa, jolla se voi lainmukaisesti käyttää toimivaltuuksiansa, ei itsessään ole muutettu. Näin ollen riidanalaiset säännökset eivät koske tietosuojavaltuutettua suoraan, koska ne eivät ole vaikuttaneet sen oikeuksiin, velvollisuuksiin tai toimivaltuuksiin. Siltä osin kuin on lisäksi kyse riidanalaisten säännösten vaikutuksesta 3.1.2022 annettuun päätökseen, unionin yleinen tuomioistuin täsmentää, että kyseessä on hallintopäätös, jolla ei voi olla vaikutusta muutetun Europol-asetuksen kaltaisiin säädöksiin tai niiden sisältöön.
Siltä osin kuin on toiseksi kyse edellytyksestä, joka koskee niiden, joille riidanalaiset säännökset on osoitettu ja joiden tehtävänä on niiden täytäntöönpano, harkintavaltaa, unionin yleinen tuomioistuin toteaa, että kyseiset säännökset jättävät Europolille tietyn harkintavallan. Kyseisten säännösten täytäntöönpano ei siten ole luonteeltaan puhtaasti automaattista eikä se perustu yksinomaan tietosuojavaltuutettua koskevaan unionin lainsäädäntöön edellyttämättä välissä olevien sääntöjen soveltamista.
Koska riidanalaiset säännökset eivät vaikuta suoraan tietosuojavaltuutetun oikeusasemaan ja koska edellytykset, joiden mukaan toimen, jonka kumoamista vaaditaan, on koskettava kantajaa suoraan ja erikseen, ovat kumulatiivisia, unionin yleinen tuomioistuin toteaa, että kanne jätetään tutkimatta.
(
1
)	Euroopan unionin lainvalvontayhteistyövirastosta (Europol) sekä neuvoston päätösten 2009/371/YOS, 2009/934/YOS, 2009/935/YOS, 2009/936/YOS ja 2009/968/YOS korvaamisesta ja kumoamisesta 11.5.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/794 (EUVL 2016, L 135, s. 53; jäljempänä alkuperäinen Europol-asetus) 43 artiklan 3 kohdan e alakohdan nojalla.
(
2
)	Siltä osin kuin on kyse Europolin yhteistyöstä yksityisten osapuolten kanssa, Europolin suorittamasta henkilötietojen käsittelystä rikostutkintojen tukemiseksi sekä Europolin roolista tutkimuksessa ja innovoinnissa 8.6.2022 annettu Euroopan parlamentin ja neuvoston asetus (EU) 2022/991 (EUVL 2022, L 169, s. 1; jäljempänä muutettu Europol-asetus), jolla muutettiin alkuperäistä Europol-asetusta.
(
3
)	Muutetun Europol-asetuksen 74 a ja 74 b artikla (jäljempänä riidanalaiset säännökset).
(
4
)	Tuomio 22.5.1990, parlamentti v. neuvosto (C-70/88, EU:C:1990:217).
(
5
)	Kyseisten määräysten mukaan Euroopan unionin tuomioistuimessa kanteen voivat nostaa ensinnäkin jäsenvaltio, parlamentti, neuvosto tai komissio, ja toiseksi tilintarkastustuomioistuin, Euroopan keskuspankki (EKP) ja alueiden komitea.
(
6
)	Ne seitsemän toimielintä, jotka kyseisessä määräyksessä mainitaan, ovat parlamentti, Eurooppa-neuvosto, neuvosto, komissio, Euroopan unionin tuomioistuin, Euroopan keskuspankki ja tilintarkastustuomioistuin.
(
7
)	SEUT 16 artiklan 2 kohdassa ja Euroopan unionin perusoikeuskirjan (jäljempänä perusoikeuskirja) 8 artiklan 3 kohdassa määrätään, että luonnollisten henkilöiden suojaa koskevien sääntöjen, jotka koskevat unionin toimielinten, elinten ja laitosten suorittamaa henkilötietojen käsittelyä, noudattamista valvoo riippumaton viranomainen.
(
8
)	Yksilöiden suojelusta yhteisöjen toimielinten ja elinten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 18.12.2000 annetun Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 45/2001 (EYVL 2001, L 8, s. 1) 41 artiklan 1 kohta.
(
9
)	Euroopan unionin tuomioistuimen perussäännön 51 artiklan b alakohdan mukaisesti.
(
10
)	Sellaisena kuin siitä määrätään SEU 14 artiklan 1 kohdassa ja SEU 16 artiklan 1 kohdassa.
(
11
)	Luonnollisten henkilöiden suojelusta unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta sekä asetuksen (EY) N:o 45/2001 ja päätöksen N:o 1247/2002/EY kumoamisesta 23.10.2018 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1725 (EUVL 2018, L 295, s. 39) 1 artiklan 3 kohdan ja alkuperäisen Europol-asetuksen 43 artiklan 1 kohdan mukaisesti.