KOHTUJURISTI ETTEPANEK

PRIIT PIKAMÄE

esitatud 31. märtsil 2022 ( 1 )

Kohtuasi C‑77/21

Digi Távközlési és Szolgáltató Kft.

versus

Nemzeti Adatvédelmi és Információszabadság Hatóság

(eelotsusetaotlus, mille on esitanud Fővárosi Törvényszék (Pealinna Budapesti kohus, Ungari))

Eelotsusetaotlus – Füüsiliste isikute kaitse isikuandmete töötlemisel – Määrus (EL) 2016/679 – Artikli 5 lõike 1 punktid b ja e – Eesmärkide piirangu põhimõte – Säilitamise piirangu põhimõte – Õiguspäraselt kogutud ja talletatud kliendi isikuandmed – Tehnilise tõrke järel teise spetsiaalse siseandmebaasi loomine – Andmetöötluse eesmärkide järelkontroll – Topelteesmärk – Andmetöötluse ja -kogumise eesmärkide samasuse puudumine – Andmetöötluse kokkusobivus andmekogumise eesmärkidega – Artikli 6 lõige 4 – Andmebaasi pärast tehnilise tõrke parandamist kustutamata jätmine – Andmetöötluse eesmärkide täitmine

1. Millistel tingimustel võib interneti- ja televisiooniühenduse pakkuja säilitada oma klientide isikuandmeid, mis on juba kogutud ja salvestatud täiendaval siseandmekandjal ilma klientide sõnaselge nõusolekuta, kuid tehnilise tõrke kõrvaldamiseks?

2. Selline on üks käesolevas kohtuasjas tõstatatud küsimustest, mis võimaldab Euroopa Kohtul täiendada oma üha küllaldasemat kohtupraktikat määruse (EL) 2016/679 ( 2 ) kohta, mis puudutab konkreetsemalt selle akti artikli 5 lõike 1 punktides b ja e sätestatud eesmärkide ja säilitamise piirangu põhimõtteid.

I. Õiguslik raamistik

3. Käesolevas kohtuasjas on asjakohased isikuandmete kaitse üldmääruse artiklid 4–6, 13 ja 32.

II. Põhikohtuasi ja eelotsuse küsimused

4. Digi Távközlési és Szolgáltató Kft. (edaspidi „Digi“) on üks peamisi interneti- ja televisiooniteenusepakkujaid Ungaris.

5. 2018. aasta aprillis pärast tehnilist tõrget, mis kahjustas ühe serveri tööd, koostas Digi nn testandmebaasi, millesse ta kopeeris umbes kolmandiku oma eraklientide isikuandmed.

6. Digi sai 23. septembril 2019 teada, et üks „eetiline“ häkker on saanud kätte umbes 322000 isiku isikuandmed. Rünnakust teatas sellele ettevõtjale häkker ise kirjalikult 21. septembril 2019 saadetud e-kirjas, kus ta esitas tõendiks väljavõtte ühest testandmebaasi reast. Digi parandas tõrke ja sõlmis selle isikuga konfidentsiaalsuskokkuleppe ning pakkus talle tasu.

7. Pärast testandmebaasi kustutamist teatas Digi 25. septembril 2019 isikuandmete kaitse rikkumisest Nemzeti Adatvédelmi és Információszabadság Hatóságile (riiklik andmekaitse- ja teabevabadusamet, edaspidi „amet“), mille järel see amet algatas uurimise.

8. Amet järeldas 18. mai 2020. aasta otsuses muu hulgas esiteks, et Digi on rikkunud isikuandmete kaitse üldmääruse artikli 5 lõike 1 punkte b ja e sellega, et pärast vajalike testide tegemist ja probleemide kõrvaldamist ei kustutanud ta testandmebaasi, mistõttu säilitas ta suurt hulka sellesse testandmebaasi salvestatud isikuandmeid ligi 18 kuud ilma igasuguse eesmärgita failis, mis võimaldas andmesubjekte identifitseerida, mistõttu oli selle andmebaasi kustutamata jätmine võimaldanud isikuandmete kaitse rikkumist. Teiseks leidis amet, et Digi rikkus isikuandmete kaitse üldmääruse artikli 32 lõikeid 1 ja 2. Neil asjaoludel määras amet Digile trahvi summas 100000000 Ungari forintit (HUF) (ligikaudu 270000 eurot).

9. Digi vaidlustas selle otsuse õiguspärasuse eelotsusetaotluse esitanud kohtus.

10. Viimane märgib, et isikuandmed, mille Digi oli kopeerinud testandmebaasi, olid kogutud liitumislepingute sõlmimiseks ja amet ei ole andmete kogumise õiguspärasust kahtluse alla seadnud. See kohus soovib siiski teada, kas andmete kogumise ja töötlemise eesmärk on muutunud, kuna teatud kindlal eesmärgil kogutud andmed kopeeriti teise andmebaasi. Ta lisab, et tal tuleb ka kindlaks teha, kas testandmebaasi loomine ja klientide andmete sel viisil töötlemise jätkamine on nende andmete kogumise eesmärgiga kooskõlas. Eesmärkide piirangu põhimõte ei anna selgeid juhiseid selle kohta, millistes sisesüsteemides vastutaval töötlejal on õigus seaduslikult kogutud andmeid töödelda või kas ta võib neid andmeid testandmebaasi kopeerida ilma andmete kogumise eesmärki muutmata.

11. Juhul kui testandmebaasi loomine on andmete kogumise eesmärgiga vastuolus, soovib eelotsusetaotluse esitanud kohus samuti teada, kas juhul, kui klientide andmete teises andmebaasis töötlemise eesmärk ei ole vigade parandamine, vaid lepingute sõlmimine, tuleb vajalik säilitamise aeg viia kooskõlla vigade parandamiseks vajaliku ajaga või pigem lepinguliste kohustuste täitmiseks vajaliku ajaga.

12. Neil asjaoludel otsustas Fővárosi Törvényszék (Pealinna Budapesti kohus, Ungari) menetluse peatada ja esitada Euroopa Kohtule järgmised eelotsuse küsimused: „1. Kas [isikuandmete kaitse üldmääruse] artikli 5 lõike 1 punktis b määratletud mõistet „eesmärgi piirang“ tuleb tõlgendada nii, et selle mõistega on kooskõlas see, kui vastutav töötleja säilitab isikuandmeid, mis on muidu kogutud teatud kindlatel ja õiguspärastel eesmärkidel ja mida säilitatakse kooskõlas nende eesmärkidega, paralleelselt ka ühes teises andmebaasis, või vastupidi nii, et andmete säilitamine paralleelses andmebaasis ei ole enam kooskõlas õiguspäraste eesmärkidega, mille jaoks need andmed koguti? 2. Kas juhul, kui esimesele küsimusele vastatakse, et andmete paralleelne säilitamine ei ole iseenesest „eesmärgi piirangu“ põhimõttega kooskõlas, on [isikuandmete kaitse üldmääruse] artikli 5 lõike 1 punktis e sätestatud „säilitamise piirangu“ põhimõttega kooskõlas see, et vastutav töötleja säilitab paralleelselt teises andmebaasis isikuandmeid, mis on muidu kogutud ja mida säilitatakse piiratud õiguspärastel eesmärkidel?“

III. Menetlus Euroopa Kohtus

13. Põhikohtuasja kaebaja ja vastustaja, Ungari, Tšehhi ja Portugali valitsus ning Euroopa Komisjon esitasid kirjalikud seisukohad. Kohtuistungil, mis toimus 17. jaanuaril 2022, kuulati ära ka põhikohtuasja kaebaja ja vastustaja ning Ungari valitsuse ja komisjoni suulised seisukohad.

IV. Õiguslik analüüs

A. Vastuvõetavus

14. Amet ja Ungari valitsus avaldasid kahtlust, kas eelotsusetaotlus on vastuvõetav, kuna esitatud küsimused ei kajasta põhikohtuasja faktilisi asjaolusid ega ole selle lahendamiseks otseselt asjakohased.

15. Euroopa Kohtu väljakujunenud kohtupraktika kohaselt on üksnes asja menetleva ja selle lahendamise eest vastutava liikmesriigi kohtu ülesanne kohtuasja eripära arvesse võttes hinnata nii eelotsusetaotluse vajalikkust asjas otsuse langetamiseks kui ka Euroopa Kohtule esitatavate küsimuste asjakohasust. Seega, kui küsimused on esitatud liidu õigusnormi tõlgendamise või kehtivuse kohta, on Euroopa Kohus üldjuhul kohustatud vastama. Sellest järeldub, et eeldatakse, et liidu õigust puudutavad küsimused on asjakohased. Euroopa Kohus võib jätta liikmesriigi kohtu esitatud eelotsusetaotluse läbi vaatamata vaid siis, kui ilmneb, et tõlgendamine, mida liikmesriigi kohus palub, ei ole mingil viisil seotud põhikohtuasja faktiliste asjaolude või esemega, või ka juhul, kui probleem on hüpoteetiline või kui Euroopa Kohtule ei ole teada faktilised või õiguslikud asjaolud, mis on vajalikud esitatud küsimustele tarviliku vastuse andmiseks. Käesoleval juhul sisaldab eelotsusetaotlus piisavaid faktilisi ja õiguslikke asjaolusid, et eelotsuse küsimuste ulatus oleks mõistetav. Lisaks ja eelkõige ei võimalda ükski Euroopa Kohtu käsutuses olevas toimikus sisalduv asjaolu järeldada, et liidu õiguse tõlgendamine, mida palutakse, ei ole seotud põhikohtuasja faktiliste asjaolude või esemega või on hüpoteetiline ( 3 ).

16. Sellega seoses tuleb märkida, et eelotsusetaotluse esitanud kohtule on esitatud kaebus nõudega tühistada otsus, millega määrati Digile kui vastutavale töötlejale sanktsioon isikuandmete kaitse üldmääruse artikli 5 lõike 1 punktides b ja e sätestatud eesmärkide ja säilitamise piirangu põhimõtete väidetava rikkumise eest, mille kohta selle kohtu tõlgendamistaotlus on esitatud. Seega tuleb eelotsusetaotlus lugeda vastuvõetavaks.

B. Analüüsi õiguslik raamistik

17. Tuleb tõdeda, et eelotsusetaotlus puudutab üksnes isikuandmete kaitse üldmääruse artikli 5 tõlgendamist põhikohtuasjas, mis puudutab sellise isikuandmete töötlemise seaduslikkust, mida teeb Digi, kes on üks peamisi interneti- ja televisiooniteenuste pakkujaid Ungaris ja kes on seega üldsusele veebisideteenuste ühendust pakkuv operaator.

18. Tuleb aga märkida, et direktiivi 2002/58/EÜ ( 4 ) artikli 1 lõikes 1 on sätestatud, et selle direktiiviga ühtlustatakse liikmesriikide need sätted, mis on vajalikud eelkõige põhiõiguste ja -vabaduste, täpsemini eraelu puutumatuse kaitse võrdväärse taseme tagamiseks isikuandmete töötlemise puhul elektroonilise side sektoris. Lisaks on direktiivi 2002/58 artiklis 3 sätestatud, et seda direktiivi kohaldatakse isikuandmete töötlemisele, mis toimub seoses üldkasutatavate elektroonilise side teenuste osutamisega liidu üldkasutatavates sidevõrkudes, sealhulgas andmete kogumist ja tuvastusseadmeid toetavates üldkasutatavates sidevõrkudes. Seetõttu tuleb seda direktiivi käsitada nii, et see reguleerib niisuguste teenuste osutajate tegevust ( 5 ).

19. Vastavalt direktiivi 2002/58 artikli 1 lõikele 2 täpsustab ja täiendab see direktiiv direktiivi 95/46/EÜ ( 6 ) nimetatud lõikes 1 sätestatud eesmärkidel, kusjuures tuleb märkida, et isikuandmete kaitse üldmääruse artikli 94 lõike 2 alusel mõistetakse direktiivis 2002/58 antud viiteid direktiivile 95/46 viidetena sellele määrusele ( 7 ). Direktiivi 2002/58 põhjenduse 10 kohaselt kohaldatakse elektroonilise side sektoris direktiivi 95/46 eelkõige kõigil põhiõiguste ja -vabaduste kaitsmisega seotud juhtudel, mis ei kuulu sõnaselgelt direktiivi 2002/58 kohaldamisalasse, sealhulgas vastutava isikuandmete töötleja kohustuste ja üksikisiku õiguste puhul ( 8 ).

20. Eelotsusetaotlusest nähtub, et põhikohtuasi ei puuduta elektrooniliste sideteenuste kasutamist Digi abonentide poolt ja sellega seotud sideandmete ja nendega seotud liiklusandmete kaitset, mida reguleerib direktiiv 2002/58, vaid puudutab selle ettevõtja sisemist toimimist. Vaidlust ei ole selles, et Digi koostas 2018. aastal serveri tehnilise tõrke tõttu, mis väljendus selles, et tema abonendid ei pääsenud algsesse andmebaasi, faili nimega „test“, millesse ta kopeeris osa oma klientide isikuandmeid. ( 9 ) Pärast seda, kui Digi oli selle tõrke süsteemi töös parandanud, säilitas ta andmeid täiendavas andmebaasis edasi kuni 2019. aasta septembrini, mil seda andmebaasi tabas arvutihäkkeri rünnak. Digi selline tegevus on „isikuandmete töötlemine“, mille eest see ettevõtja on „vastutav“ selle määruse artikli 4 lõigetes 2 ja 7 toodud määratluste tähenduses. Lisaks määraski amet selles staatuses Digile sanktsiooni selle eest, et Digi oli sel juhul rikkunud nimelt isikuandmete kaitse üldmääruse artikli 5 lõike 1 punktidest b ja e tulenevaid kohustusi.

21. Sellega seoses tuleb meenutada, et kui isikuandmete kaitse üldmääruse artikli 23 alusel lubatud eranditest ei tulene teisiti, tuleb isikuandmete töötlemisel järgida neid reguleerivaid põhimõtteid ning andmesubjekti õigusi, mis on sätestatud vastavalt selle määruse II ja III peatükis. Täpsemalt peab igasugune isikuandmete töötlemine esiteks olema kooskõlas nimetatud määruse artiklis 5 sätestatud põhimõtetega ja teiseks vastama sama määruse artiklis 6 loetletud seaduslikkuse tingimustele ( 10 ).

22. Vastavalt isikuandmete kaitse üldmääruse artiklile 5 peab vastutav töötleja tagama, et isikuandmeid „töödeldakse seaduslikult, õiglaselt ja läbipaistvalt“ (punkt a), et isikuandmeid „kogutakse täpselt ja selgelt kindlaksmääratud ning õiguspärastel eesmärkidel ega töödelda hiljem viisil, mis on vastuolus kõnealuste eesmärkidega“ (punkt b), et need on „piisavad, asjakohased ega ületa selle otstarbe piire, mille tarvis neid kogutakse ja/või hiljem töödeldakse“ (punkt c), et need on „täpsed ja vajaduse korral ajakohastatud“ (punkt d) ning lõpuks, et neid „säilitatakse kujul, mis võimaldab andmesubjekte tuvastada ainult seni, kuni see on vajalik seoses andmete kogumise või hilisema töötlemise eesmärkidega“ (punkt d), kusjuures andmete töötlemist ajaloo, statistika või teadusega seotud eesmärkidel reguleerivad erisätted. Seoses sellega peab vastutav töötleja võtma kõik mõistlikud meetmed, et kustutada või parandada andmed, mis ei vasta selle sätte nõuetele ( 11 ).

C. Eelotsusetaotluse ulatus

23. Eelotsusetaotluse esitanud kohus soovib saada Euroopa Kohtult juhiseid isikuandmete kaitse üldmääruse artikli 5 lõike 1 punktides b ja e sätestatud eesmärkide piirangu põhimõtte ja säilitamise piirangu põhimõtte tõlgendamise kohta, mis väljendub nende sätete kohta esitatud kahe eraldi eelotsuse küsimuse sõnastuses. Teine küsimus, mis puudutab andmete säilitamise piirangu põhimõtet, on sõnastatud ainult tingimuslikult juhuks, kui kõnealune töötlemine on vastuolus eesmärkide piirangu põhimõttega.

24. Tuleb aga rõhutada, et isikuandmete kaitse üldmääruse artiklis 5 sätestatud isikuandmete töötlemise nõuded on ilmselgelt kumulatiivsed ja üksteisest sõltumatud ( 12 ). Säilitamise piirangu põhimõtte järgimise problemaatika on eesmärkide piirangu põhimõttega seotud küsimusest õiguslikult sõltumatu. Põhikohtuasja esemeks olevas otsuses leiab amet, et andmete talletamine täiendaval siseandmekandjal põhjustab kahe eespool nimetatud eraldiseisva põhimõtte eiramist.

25. Kuigi eelotsusetaotluse esitanud kohus on vormiliselt oma teist küsimust piiranud, esitades selle tingimuslikult, ei takista see asjaolu Euroopa Kohtul esitada sellele kohtule kõik juhised liidu õiguse tõlgendamiseks, mis võivad olla tarvilikud põhikohtuasja lahendamisel, tuletades liikmesriigi kohtu esitatud teabest ja eelkõige eelotsusetaotluse põhjendustest need liidu õiguse aspektid, mida on põhikohtuasja vaidluse eset silmas pidades vaja tõlgendada ( 13 ).

D. Andmetöötluse õiguspärasus eesmärkide ja säilitamise piirangu põhimõtete seisukohast

1. Sissejuhatavad kaalutlused

26. Kõigepealt pean vajalikuks analüüsida isikuandmete kaitse üldmääruse artikli 5 lõike 1 punktides b ja e määratletud põhimõtete vastavat ulatust ja seda seoses eelotsusetaotluses ja huvitatud isikute menetlusdokumentides kasutatud mõistega „säilitamine“, et kirjeldada süüks pandavat andmetöötlustoimingut kahest aspektist. Esimene puudutab andmete säilitamise või salvestamise toimingut ennast, milleks käesoleval juhul on ühe osa Digi abonentide andmete koopia hoidmine täiendavas siseandmebaasis. Teine näeb ette säilitamise selle andmebaasi alleshoidmise ajaks. Esitatud küsimus on seega andmete talletamise kestus. Selles osas ei kuulu eespool nimetatud ajaküsimus minu arvates mitte eesmärkide piirangu põhimõtte, vaid üksnes säilitamise piirangu põhimõtte alla.

27. Isikuandmete kaitse üldmääruse artikli 5 lõike 1 punktis b ette nähtud eesmärkide piirangu põhimõttel on kaks aspekti: isikuandmeid kogutakse ühelt poolt „täpselt ja selgelt kindlaksmääratud ning õiguspärastel eesmärkidel“ ning teiselt poolt ei tohi neid „töödelda hiljem viisil, mis on nende eesmärkidega vastuolus“. Selle põhimõtte eesmärk on piiritleda võimalikult selgelt isikuandmete kasutamine, tagades tasakaalu andmesubjektide eraelu puutumatuse ja andmekaitse põhiõiguste austamise ning teatava paindlikkuse tunnustamise vahel vastutava töötleja jaoks nende andmete haldamisel, mida nõuab digielu ja selle ettenägematus.

28. Teises pooles, mis meid käesolevas asjas konkreetselt huvitab, on selle põhimõtte eesmärk määratleda, millises ulatuses võib konkreetsel otstarbel kogutud isikuandmeid taaskasutada. Vastavalt isikuandmete kaitse üldmääruse artikli 5 lõike 1 punktile b tuleb igasugust töötlemist pärast andmete kogumist pidada „hilisemaks töötlemiseks“ ja see peab seega – välja arvatud erandjuhtudel – vastama kooskõla nõudele ( 14 ). See nõue väljendab vajadust, et andmete kogumise eesmärgi ja nende hilisema töötlemise vahel peab olema konkreetne, loogiline ja piisavalt tihe seos. Teisisõnu ei tohi see töötlemine olla eraldatud andmete kogumise algsest eesmärgist või minna sellega vastuollu, vaid selle sisu peab olema ühitatav andmete kogumise mõttega, sõltumata mis tahes ajaküsimusest.

29. Eesmärkide piirangu põhimõte ei kujuta endast otseses mõttes proportsionaalsuse põhimõtte väljendust, erinevalt isikuandmete kaitse üldmääruse artikli 5 lõike 1 punktis e sätestatud säilitamise piirangu põhimõttest. Nagu Euroopa Kohus on täpsustanud, tuleneb selles artiklis ette nähtud nõuetest, et isegi alguses seaduslik töötlemine võib aja möödudes sattuda selle määrusega vastuollu, kui neid andmeid ei ole enam vaja eesmärkidel, milleks neid koguti või töödeldi. Nii on see eelkõige juhul, kui need andmed ei ole adekvaatsed, ei ole või enam ei ole asjakohased või kui andmed on neid eesmärke ja möödunud aega arvestades ülemäärased ( 15 ).

30. Seega tuleb säilitamise piirangu põhimõtte raames hinnata töötlemise proportsionaalsust selle eesmärgiga aja möödumise seisukohast. Selle põhimõttega on vastuolus andmete säilitamine pikema aja jooksul kui vajalik, see tähendab pikema aja jooksul, kui on vajalik nende eesmärkide täitmiseks, mille jaoks neid andmeid säilitati ( 16 ). Kui töötlemise eesmärgid on saavutatud, tuleb andmed kustutada ( 17 ). Säilitamise piirangu põhimõte vastab seega küsimusele, millal ei olnud andmete talletamine Digi täiendaval siseandmekandjal enam õigustatud.

31. Eeltoodud kaalutlustest lähtudes analüüsingi kõnealuse töötlemise seaduslikkust eespool nimetatud kahe põhimõtte seisukohast.

2. Eesmärkide piirangu põhimõte

32. Selle põhimõtte järgimise kontrollimine teises osas eeldab asjaomaste andmete kogumise eesmärgi või eesmärkide eelnevat kindlaksmääramist. Euroopa Kohtule esitatud toimikust nähtub, et Digi kogus neid andmeid interneti- ja televisiooniühenduse pakkujana pakutud liitumislepingute sõlmimiseks ja täitmiseks ning et põhikohtuasja pooled ei ole selle esimese töötlemise seaduslikkuse üle vaielnud. Sama kehtib möödapääsmatu järgneva töötlemise kohta, mis seisneb nimetatud andmete talletamises spetsiaalsele andmekandjale, mida kvalifitseeritakse algseks andmebaasiks ( 18 ). Selles kontekstis soovib eelotsusetaotluse esitanud kohus eelkõige saada vastust küsimusele, kas andmete kogumise kindel, selge ja õiguspärane eesmärk „muutub“ seetõttu, et andmed kopeeriti andmebaasi, mis lisandub esimesele talletamisele, mida pooled ei ole vaidlustanud.

33. Euroopa Kohtu praktika kohaselt tuleb isikuandmete kaitse üldmääruses sisalduvaid isikuandmete kaitse eeskirju järgida nende andmete igasugusel selle määruse artiklis 2 määratletud töötlemisel ( 19 ). Mulle näib, et eespool nimetatud küsimusega eiratakse nõuet hinnata individuaalselt kõiki pärast andmete kogumist tehtud töötlemistoiminguid, nagu tuleneb käesoleval juhul isikuandmete kaitse üldmääruse artikli 5 lõike 1 punktist b.

34. Teisisõnu tuleb iga kord, kui neid andmeid hiljem kasutatakse, kasutamist uurida selleks, et kontrollida selle konkreetset eesmärki ja vajaduse korral selle kooskõla andmete kogumise eesmärgiga. Andmete kogumise ja esmase talletamise õiguspärasus ei saa edasikandumise vormis automaatselt mõjutada seda, kas teine hilisem töötlemine vastab eesmärkide piirangu põhimõttele, sõltumata asjaolust, et see töötlemine toimub samade andmetega. Nagu väidab Ungari valitsus, ei saa asuda seisukohale, et vastutaval töötlejal on õigus isikuandmeid talletada mitmes failis ja ilma piiranguteta tingimusel, et ta on neid algul kogunud ja töödelnud seaduslikult.

35. Seega tuleb analüüsida küsimust, kas isikuandmete kogumise eesmärgid ja andmete hilisem töötlemine on omavahel kooskõlas, mida nõuab isikuandmete kaitse üldmääruse artikli 5 lõike 1 punkt b. See küsimus tekib loogiliselt siiski vaid juhul, kui töötlemine toimub muudel eesmärkidel kui need, mis olid esialgu kindlaks määratud.

36. Selle määruse põhjenduse 50 kohaselt tuleks isikuandmete töötlemist „muudel eesmärkidel“ kui need, milleks need esialgu koguti, lubada üksnes juhul, kui see on kooskõlas andmete kogumise eesmärkidega. Nimetatud määruse artikli 6 lõike 4 sõnastus kinnitab samuti eespool toodud järeldust. Selles sättes on kehtestatud mitteammendav loetelu kriteeriumidest, mis võimaldavad konkreetse juhtumi puhul hinnata seda, kas töötlemine „muul eesmärgil“ on kooskõlas eesmärgiga, milleks isikuandmeid esialgu koguti. Seega, kui tuvastatakse, et andmete kogumise ja hilisema töötlemise eesmärk on sama, nagu väidab Digi, siis kooskõla küsimust ei tekiks ja saaks järeldada, et andmete töötlemine on eesmärkide piirangu põhimõtte seisukohast õiguspärane ( 20 ).

a) Töötlemise eesmärgid

37. Euroopa Kohtule esitatud toimikust ja täpsemalt Digi avaldustest nähtub, et serveri tehnilise tõrke tõttu, mille tagajärjel ei olnud algne andmebaas kättesaadav, kopeeris see ettevõtja osa abonentide andmeid täiendavasse siseandmebaasi, mida nimetatakse „testbaasiks“, et parandada tehnilist riket ja tagada andmetele juurdepääs vastavalt isikuandmete kaitse üldmääruse artikli 5 lõike 1 punktis f sätestatud ja artiklis 32 ( 21 ) üksikasjalikult kirjeldatud vastutava töötleja kohustusele. Digi kinnitab, et see andmetöötlustoiming aitab samuti ja sel viisil kaasa andmete kogumise eesmärgi saavutamisele, milleks on lepingus ette nähtud teenuse osutamine. Neil asjaoludel ei ole süüks pandud talletamine seotud teistsuguse eesmärgiga, mis välistab selle määruse artikli 5 lõike 1 punkti b igasuguse rikkumise.

38. Kuigi loomulikult on eelotsusetaotluse esitanud kohtu ülesanne kontrollida, kas eespool nimetatud andmetöötlustoiming on õiguspärane, arvestades eelkõige isikuandmete kaitse üldmääruse artiklis 5 sätestatud nõudeid ja kõiki juhtumile iseloomulikke asjaolusid, võib talle selleks anda juhiseid.

39. Märgin esiteks, et Digi viitab sisuliselt sellele, et süüks pandud töötlemisel on kaks eesmärki: serveri tõrke parandamine ja abonentide andmete kättesaadavuse kindlustamise esmane ja spetsiifiline eesmärk oli ise teisejärguline ja üldine eesmärk, mis on seotud abonendilepingute täitmisega, mis langeb kokku andmete algse kogumise eesmärgiga.

40. Praktikas on täiesti mõeldav, et isikuandmeid võiks koguda või töödelda hiljem mitmel eesmärgil, mida isikuandmete kaitse üldmäärus näeb ette ja lubab selgelt, nagu näitab selle artikli 5 lõike 1 punkti b ja artikli 6 lõike 1 punkti a ning põhjenduste 32 ja 50 sõnastus. See lähenemine vastab pragmaatilisuse ja paindlikkuse vajadusele, mida nõuab isikuandmete keerukas ja vähe lineaarne töötlemine digiajastul. Selles tuleb siiski arvesse võtta eesmärgi täpsuse nõuet, mis on Euroopa isikuandmete kaitse korra rakendamisel võtmeelement.

41. Eesmärgi piisav täpsuse aste on seega ettenähtavuse ja õiguskindluse seisukohalt fundamentaalne tagatis selles mõttes, et see aitab kaasa sellele, et asjaomane isik saab hästi aru oma andmete võimalikust kasutamisest ning võimaldab tal teha otsuse kõiki asjaolusid teades. See ettenähtavus on oluline selleks, et hinnata seda, kas andmete kogumise eesmärk ja andmete hilisem töötlemine on omavahel kooskõlas, vähendades nii ohtu, et andmesubjekti mõistlikud ootused nende andmete võimaliku tulevikus kasutamise suhtes ning vastutava töötleja toimingud lahknevad. Eesmärki on vaja täpsustada ka muude andmete kvaliteediga seotud nõuete kohaldamiseks, sealhulgas selleks, et kogutud andmed oleksid piisavad, asjakohased, proportsionaalsed ja õiged, ning andmete säilitamise kestuse nõuete täitmiseks vastavalt isikuandmete kaitse üldmääruse artikli 5 lõike 1 punktidele c, d ja e.

42. See täpsuse nõue kehtib seega, nagu on rõhutatud artikli 29 alusel asutatud andmekaitse töörühma ( 22 ) arvamuses 3/2013, kõigi töötlemistoimingute kohta, mitte ainult andmete kogumise algses etapis. On huvitav märkida, et kui andmeid töödeldakse andmesubjekti nõusolekul, siis on see isikuandmete kaitse üldmääruse artikli 6 lõike 1 punkti a kohaselt seaduslik vaid juhul, kui isik on andnud nõusoleku töötlemiseks ühel või mitmel „konkreetsel“ eesmärgil.

43. Kui neil asjaoludel võib konkreetsel töötlemisel olla kaks eesmärki, peab sellel mõlemal juhul olema täpne iseloom ning objektiivne ja piisavalt tihe seos asjaomase töötlemisega.

44. Teiseks tuleb arvestada konkreetset konteksti, milles tuleb anda hinnang kõnealuse hilisema töötlemise eesmärgile või eesmärkidele.

45. Vastavalt isikuandmete kaitse üldmääruse põhjendustele 60 ja 61 nõuab õiglase ja läbipaistva töötlemise põhimõte, et andmesubjekti teavitataks töötlemistoimingust ja selle eesmärkidest ning tema isikuandmete töötlemisega seotud teavet tuleb andmesubjektile anda temalt teabe kogumise ajal. Sellega seoses on selle määruse artikli 13 lõike 1 punktis c ette nähtud, et kui andmesubjektiga seotud isikuandmeid kogutakse andmesubjektilt, teatab vastutav töötleja talle kõnealuste andmete saamise ajal nende andmete töötlemise eesmärgid ja õigusliku aluse.

46. On siiski selge, et kui tahes ettenägelikult ja läbimõeldult vastutav töötleja ka ei toimiks, on võimalik, et ta ei saa kõiki andmetöötlusahelasse kuuluvate toimingute laadi ega täpset ulatust töötlemise kavandamisest alates ette näha ja kindlaks määrata. Samuti on käesolev kohtuasi suurepärane näide problemaatikast, mis on seotud määratluse järgi ettenägematu tehnilise tõrke haldamisega ja seejärel teatud tüüpi andmetöötluse korraldamisega algul täpsustamata eesmärgil.

47. Seda eesmärki kontrollitakse sellise töötlemise seaduslikkuse hindamise raames, mida teevad järelevalveasutus ja seejärel tema otsuse peale esitatud kaebust menetlev kohus, nagu käesolevas asjas, tagantjärele, arvestades haldusmenetluses vastutava töötleja esitatud andmeid. Seda, et väidetav eesmärk on tegelik, ning kui see on nii, siis seda, et see töötlemine on kooskõlas andmete kogumise eesmärgiga, peab isikuandmete kaitse üldmääruse artikli 5 lõikes 2 ette nähtud vastutuse põhimõtte kohaselt tõendama just vastutav töötleja, kes on asjaomase andmetöötlustoimingu kavandanud ( 23 ).

48. Selle eesmärgi kontrollimisel võib arvesse võtta kahte konkreetset ja objektiivset asjaolu. Esiteks on isikuandmete kaitse üldmääruse artikli 13 lõikes 3 ette nähtud, et kui andmesubjekti isikuandmeid kogutakse andmesubjektilt ja vastutav töötleja kavatseb neid hiljem töödelda muul eesmärgil kui see, milleks andmeid kogutakse, siis annab vastutav töötleja andmesubjektile enne teavet selle muu eesmärgi ( 24 ) kohta ja kogu muud sama sätte lõikes 2 osutatud asjakohast teavet. Teiseks kohustab isikuandmete kaitse üldmääruse artikli 30 lõige 1 igat vastutavat töötlejat pidama kirjalikult, sealhulgas elektrooniliselt, nende vastutusel toimuva töötlemise registrit ja tegema selle nõudmisel järelevalveasutusele kättesaadavaks. Register sisaldab mitmesuguseid andmeid, sealhulgas teavet töötlemise eesmärkide kohta.

49. Käesoleval juhul näib olevat selge, et Digi ei teavitanud ühtegi asjaomast abonenti oma kavatsusest nende andmed kopeerida ja talletada neid siseandmekandjal testide tegemiseks ja vigade parandamiseks, kuna see ettevõtja leiab, et selle töötlemistoimingu eesmärk ei erine andmete kogumise eesmärgist ega kuulu seega isikuandmete kaitse üldmääruse artikli 13 lõike 3 kohaldamisalasse ( 25 ). Euroopa Kohtule esitatud toimikust ei ole võimalik ka kindlaks teha, kas Digi suhtes on kohaldatav registri pidamise kohustusest selle määruse artikli 30 lõikes 5 ette nähtud vabastus ( 26 ).

50. Märgin igaks juhuks, et Digi märkis kohtuistungil selgelt, et 2018. aastal asetleidnud tehniline tõrge ei põhjustanud katkestust lepingus ette nähtud teenuse osutamises, kuna süüks pandud andmete talletamine tehti ainult niisuguse katkestuse ohtu arvestades. Need avaldused peavad olema seotud objektiivsete sisuliste järeldustega nn testandmebaasi nimetuse valiku kohta, asjaoluga, et andmebaasis ei olnud kõikide abonentide, vaid ainult ühe kolmandiku abonentide andmed, ning et pärast seda, kui Digi oli selle andmebaasi 18 kuuks pärast algse tehnilise tõrke intsidendi lahendamist unustanud, kustutati see kohe pärast 2019. aasta septembris toimunud arvutihäkkeri rünnakut, mis kahjustas andmeturvet.

51. Neil asjaoludel näib, et võib asuda seisukohale, et süüks pandava töötlemise ainus, konkreetne ja spetsiifiline eesmärk oli tagada ajutiselt osa abonentide andmete turve seoses serveri tööd häirinud tehnilise intsidendi parandamisega, st eesmärgil, mis erineb minu arvates andmete kogumise eesmärgist.

52. Komisjon ja Digi väidavad seevastu, et sellist töötlemist, selleks et täita isikuandmete kaitse üldmääruse artikli 5 lõike 1 punktis f kehtestatud ja artiklis 32 üksikasjalikult kirjeldatud turbe tagamise kohustust, ei saa käsitada nii, et sellel on uus või eraldiseisev eesmärk, sest vastasel juhul kahjustataks selle akti kasulikku mõju ja see viiks andmesubjektide teavitamiseni ilma praktilise huvita.

53. See abstraktne ja süstemaatiline lähenemine on minu arvates vastuolus nõudega hinnata iga töötlemistoimingu õiguspärasust juhtumi kõiki asjakohaseid asjaolusid arvesse võttes. Just see lähenemine jätab tegelikult isikuandmete kaitse üldmääruse artikli 13 lõikes 3 ette nähtud andmesubjektide teavitamise kohustuse ilma kasuliku mõjuta, kuna vastutav töötleja peab neid isikuid teavitama, et tagada, et andmete töötlemine oleks nende suhtes õiglane ( 27 ). See kohustus on imperatiivne juhul, kui töötlemine toimub – nagu käesolevas asjas – lepingulise suhte raames ning selle aluseks on selle akti artikli 6 lõike 1 punkt b, mis käsitleb vajadust täita lepingut ilma lepingu sõlminud isikute nõusolekuta. Lõpuks eirab see lähenemisviis isikuandmete kaitse üldmääruse artikli 5 lõike 1 punkti b mõtet, milleks on see, et hilisem töötlemine, mis toimub andmete kogumise eesmärgist erineval eesmärgil, ei ole tingimata õigusvastane, kuna eespool viidatud sätte täitmiseks piisab vaid sellest, et töötlemine on kogumise eesmärgiga kooskõlas.

b) Töötlemise kooskõla

54. Isikuandmete kaitse üldmääruse artikli 5 lõike 1 punkt b ei sisalda mingeid andmeid selle kohta, millistel tingimustel võib hiljem andmete algse kogumise eesmärgist erineval eesmärgil toimuvat töötlemist pidada selle andmete kogumise eesmärgiga kooskõlas olevaks. Siinkohal tuleb lähtuda isikuandmete kaitse üldmääruse artikli 6 lõikest 4 koostoimes selle akti põhjendusega 50, mille sisu väljendab seost eesmärkide piirangu põhimõtte ja asjaomase töötlemise õigusliku aluse vahel.

55. See säte eristab seega kooskõla nõuet selle järgi, kas töötlemine muul eesmärgil kui see, milleks andmeid koguti, põhineb andmesubjekti nõusolekul või liidu või liikmesriigi õigusel, mis on demokraatlikus ühiskonnas vajalik ja proportsionaalne meede selleks, et tagada isikuandmete kaitse üldmääruse artikli 23 lõikes 1 osutatud eesmärgid.

56. Jaatava vastuse korral on vastutaval töötlejal isikuandmete kaitse üldmääruse põhjenduse 50 teise lõigu kohaselt lubatud isikuandmete hilisem töötlemine sõltumata sellest, kas eesmärgid on omavahel kooskõlas ( 28 ). Seda erandit kooskõla nõudest õigustab sisuliselt see, et on olemas muid andmesubjektide kaitse õigusnorme, eelkõige need, mis puudutavad andmesubjektide teavitamist muudest eesmärkidest ja õigusest andmete töötlemist vaidlustada ( 29 ).

57. Eitava vastuse korral – käesolevale kohtuasjale vastavas olukorras – võtab isikuandmete kaitse üldmääruse artikli 6 lõike 4 kohaselt: „[…] vastutav töötleja selle kindlakstegemiseks, kas muul eesmärgil töötlemine on kooskõlas eesmärgiga, mille jaoks isikuandmeid algselt koguti, muu hulgas arvesse: a) seost nende eesmärkide, mille jaoks isikuandmeid koguti, ja kavandatava edasise töötlemise eesmärkide vahel; b) isikuandmete kogumise konteksti, eelkõige andmesubjektide ja vastutava töötleja vahelist seost; c) isikuandmete laadi, eelkõige seda, kas töödeldakse isikuandmete eriliike vastavalt artiklile 9 või süüteoasjades süüdimõistvate kohtuotsuste ja süütegudega seotud isikuandmeid vastavalt artiklile 10; d) kavandatava edasise töötlemise võimalikke tagajärgi andmesubjektide jaoks; e) asjakohaste kaitsemeetmete olemasolu, milleks võivad olla näiteks krüpteerimine ja pseudonümiseerimine.“

58. Kuna Digi ei märkinud andmete kogumise ajal vormiliselt midagi kavandatava edasise töötlemise ja selle eesmärgi kohta, tuleb jääda sisulise lähenemisviisi juurde, mis minu arvates viib järelduseni, et töötlemine on reeglitega kooskõlas.

59. Sellega seoses esineb vaieldamatult seos andmete algse kogumise eesmärgi, nimelt interneti- ja telekommunikatsiooniühenduse lepingu täitmise, ja töötlemise vahel, mille eesmärk on tagada nende andmete turve siseandmebaasis ja täiesti turvaliselt testide tegemise vahel, mille eesmärk on parandada tehniline tõrge, mis võib kahjustada lepingus ette nähtud teenuse osutamist. Need eesmärgid ei kattu omavahel loogiliselt, nagu on märgitud eespool.

60. Tuleb rõhutada, et selline töötlemine ei lähe vastuollu abonentide õiguspärase ootusega seoses nende andmete edasise kasutamisega. Andmete täiendavat talletamist siseandmekandjal, mis on põhjendatud vajadusest lahendada tehniline tõrge, mis takistab andmete kättesaadavust algsest andmebaasist, ei saa nimelt pidada üllatavaks või ebatõenäoliseks. Lisaks töötles asjaomaseid andmeid jätkuvalt sama vastutav töötleja ja neid ei avalikustatud kolmandatele isikutele, mis tähendab a priori, et sellel ei ole negatiivset mõju. Asjaolu, et Digit tabanud arvutihäkkeri rünnaku raames võis rünnaku toimepanija sellel andmekandjal olevad andmed kätte saada, ei võimalda minu arvates teha tagasiulatuvat järeldust kõnealuse töötlemise mittevastavuse kohta.

3. Säilitamise piirangu põhimõte

61. Isikuandmete kaitse üldmääruse artikli 5 lõike 1 punkti e kohaselt tohib andmeid säilitada kujul, mis võimaldab andmesubjekte tuvastada, ( 30 ) ainult seni, kuni see on nende töötlemise eesmärgi jaoks vajalik; isikuandmeid võib säilitada pikema aja jooksul, kui isikuandmeid töödeldakse üksnes avalikes huvides toimuva arhiveerimise, teadus- või ajaloouuringute või statistilisel eesmärgil vastavalt artikli 89 lõikele 1, eeldusel et andmesubjektide õiguste ja vabaduste kaitseks rakendatakse käesoleva määrusega ettenähtud asjakohaseid tehnilisi ja korralduslikke meetmeid.

62. Nagu juba mainitud, väljendab säilitamise piirangu põhimõte proportsionaalsuse põhimõtet, nagu ka „võimalikult väheste andmete kogumise“ põhimõtet, mille kohaselt peavad isikuandmed olema asjakohased, olulised ja piirduma sellega, mis on vajalik nende töötlemise eesmärgi seisukohalt ( 31 ). Säilitamise piirangu põhimõtte raames on töötlemise vajalikkuse küsimus, mida tuleb vaadelda ajalises aspektis, seotud küsimusega, kas andmete säilitamine on jätkuvalt vajalik.

63. Tuleks samuti meenutada, et proportsionaalsuse nõude järgimine eeldab, et isikuandmete kaitse erandite ja piirangute puhul tuleb piirduda rangelt vajalikuga ( 32 ). Euroopa Kohus on selgelt märkinud, et isikuandmete kaitse üldmääruse artikli 5 lõike 1 punkti e eesmärk on andmesubjektide kaitse ( 33 ).

64. Isikuandmete kaitse üldmääruse põhjenduses 39 on sõnaselgelt märgitud, et andmete säilitamise aeg peab piirduma „rangelt minimaalsega“ ning selleks peaks vastutav töötleja kehtestama tähtajad andmete kustutamiseks või perioodiliseks läbivaatamiseks. Isikuandmete kaitse üldmääruse artikli 13 lõike 2 punktis a on sätestatud, et vastutav töötleja peab isikuandmete saamise ajal andma andmesubjektile täiendavat teavet lisaks lõikes 1 osutatud teabele, mis on vajalik õiglase ja läbipaistva töötlemise tagamiseks, sealhulgas isikuandmete säilitamise kestuse või – kui see ei ole võimalik – sellise aja kindlaksmääramiseks kasutatavate kriteeriumide kohta ( 34 ).

65. Selles kontekstis tuleb kõiki käesoleva juhtumi iseloomulikke asjaolusid ( 35 ) arvestades kindlaks teha, millisel hetkel võib osa abonentide andmete koopia täiendavas siseandmebaasis talletamise eesmärke pidada täidetuks, mistõttu see töötlemine kaotaks mõtte ja Digi oleks kohustatud need andmed kustutama. On ilmne, et isikuandmete kaitse üldmääruse artikli 5 lõikes 2 ette nähtud vastutuse põhimõtte kohaselt peab vastutav töötleja tõendama, et andmete töötlemine on isikuandmete säilitamise piirangu põhimõtte seisukohast, nagu ka eesmärkide piirangu põhimõtte seisukohast õiguspärane.

66. Kuna Digi leidis, et süüks pandud talletamine vastab andmete turvamise eesmärgile ja aitab iseenesest kaasa liitumislepingu täitmise eesmärgi saavutamisele, siis väidab ta, et andmete testbaasis säilitamise kestus vastab tema lepinguliste kohustuste täitmise kestusele, mis välistab isikuandmete kaitse üldmääruse artikli 5 lõike 1 punkti e rikkumise.

67. Eesmärgi või eesmärkide kindlaksmääramise osas viitan kõikidele järeldustele ja hinnangutele, mis on tehtud sellele küsimusele vastamisel, kas on järgitud eesmärkide piirangu põhimõtet, millest tulenevalt ei saa asuda seisukohale, et kõnealune töötlemine toimus kahel eesmärgil, mille hulka kuulub liitumislepingute täitmine ( 36 ).

68. Igal juhul, olenemata aluseks võetud eesmärgi või eesmärkide laadist, peab andmete töötlemine täiendavas sisefailis talletamise vormis ajaliselt piirduma rangelt vajalikuga. Teisisõnu on pärast seda, kui algsed töötõrked olid kõrvaldatud, talletamist ja selle alleshoidmist õigustanud asjaolu kadunud. Otsene ja esimene andmete turvamise eesmärk seoses tehnilise intsidendi parandamisega eraldivõetuna või isegi koosmõjus liitumislepingu täitmise kaudse ja täiendava eesmärgiga ei saanud neil asjaoludel enam õigustada töötlemise jätkamist.

69. Tuleb tõdeda, et Digi märkis üheselt, et testandmebaas oli mõeldud selleks, et tagada abonentide andmete kättesaadavus, „kuni viga parandatakse“ ja ta jättis selle kustutamata ekslikult, kuigi selle hoidmine ei olnud vigade parandamiseks enam õigustatud ( 37 ), mis tähendab, et süüks pandud töötlemine ei olnud enam tarvilik ja sellel puudus seega eesmärk. Kas võib asuda seisukohale, et siseandmebaas, mis on vastutava töötleja enda sõnul pooleteiseks aastaks unustatud, võib veel vastata tegelikule eesmärgile? Minu arvates on vastus paratamatult eitav.

V. Ettepanek

70. Esitatud põhjendustest lähtudes teen Euroopa Kohtule ettepaneku vastata Fővárosi Törvényszékile (Pealinna Budapesti kohus, Ungari) järgmiselt: 1. Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruse (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) artikli 5 lõike 1 punkti b tuleb tõlgendada nii, et selles nimetatud põhimõttega ei ole vastuolus niisuguste isikuandmete säilitamine, mis on kogutud ja mida talletatakse seaduslikult, täiendavas siseandmebaasis, tingimusel et isikuandmete kogumine on lubatud, et selle töötlemise eesmärgid on samad, mille jaoks need andmed koguti, või kui ei ole, siis on need andmete kogumise eesmärkidega kooskõlas, mida tuleb tõendada vastutaval töötlejal, kaasa arvatud juhul, kui töötlemine vastab tema kohustusele tagada isikuandmete asjakohane turvalisus, mis on ette nähtud nimetatud määruse artikli 5 lõike 1 punktis f. Kui töötlemine muul eesmärgil kui see, milleks andmed koguti, ei põhine andmesubjekti nõusolekul või määruse 2016/679 artikli 23 lõike 1 kohaldamisalasse kuuluval liidu või liikmesriigi seadusandlikul aktil, tuleb selle kooskõla kindlaks teha eelkõige selle määruse artikli 6 lõikes 4 sätestatud kriteeriumide põhjal. 2. Määruse 2016/679 artikli 5 lõike 1 punkti e tuleb tõlgendada nii, et selles viidatud põhimõttega on vastuolus õiguspäraselt kogutud ja talletatud andmete säilitamine kujul, mis võimaldab andmesubjekte tuvastada, täiendavas siseandmebaasis, mis vastab tehnilise tõrke parandamise ja nende andmete ajutise turvamise eesmärgile, selle eesmärgi saavutamiseks vajalikust pikema aja jooksul ja seega pärast selle intsidendi lahendamist, sealhulgas juhul, kui nimetatud otsene ja esmane eesmärk võib olla seotud selle lepinguliselt ette nähtud teenuse osutamise kaudse ja täiendava eesmärgiga.

( 1 ) Algkeel: prantsuse.

( 2 ) Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määrus füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT 2016, L 119, lk 1; edaspidi „isikuandmete kaitse üldmäärus“).

( 3 ) 16. juuli 2020. aasta kohtuotsus Facebook Ireland ja Schrems (C‑311/18, EU:C:2020:559, punktid 73 ja 74).

( 4 ) Euroopa Parlamendi ja nõukogu 12. juuli 2002. aasta direktiiv, milles käsitletakse isikuandmete töötlemist ja eraelu puutumatuse kaitset elektroonilise side sektoris (eraelu puutumatust ja elektroonilist sidet käsitlev direktiiv) (EÜT 2002, L 201, lk 37; ELT eriväljaanne 13/29, lk 514).

( 5 ) 6. oktoobri 2020. aasta kohtuotsus Privacy International (C‑623/17, EU:C:2020:790, punktid 34 ja 36).

( 6 ) Euroopa Parlamendi ja nõukogu 24. oktoobri 1995. aasta direktiiv üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta (EÜT 1995, L 281, lk 31; ELT eriväljaanne 13/15, lk 355).

( 7 ) Tuleb meenutada, et kuna isikuandmete kaitse üldmäärusega tunnistati direktiiv 95/46 kehtetuks ja asendati ning selle määruse asjakohaste sätete kohaldamisala on sisuliselt identne selle direktiivi asjakohaste sätete omaga, siis on nimetatud direktiivi käsitlev Euroopa Kohtu praktika põhimõtteliselt kohaldatav ka nimetatud määruse suhtes (17. juuni 2021. aasta kohtuotsus M.I.C.M. (C‑597/19, EU:C:2021:492, punkt 107)).

( 8 ) Vt 11. novembri 2020. aasta kohtuotsus Orange Romania (C‑61/19, EU:C:2020:901) direktiivi 95/46 ja isikuandmete kaitse üldmääruse sätete ainuõigusliku rakendamise kohta kohtuasjas, mis käsitleb Rumeenia turul mobiilsideteenuste osutaja Orange România klientide nõusolekut nende isikut tõendavate dokumentide koopiate kogumise ja säilitamise kohta.

( 9 ) Komisjoni seisukohtade punktist 2 tuleneb, et need andmed vastasid järgmisele teabele: asjaomaste isikute nimi, sünnikoht ja -aeg, aadress, isikutunnistuse number, mõnikord isikukood, e-posti aadress, laua- ja mobiiltelefoninumber.

( 10 ) 6. oktoobri 2020. aasta kohtuotsus La Quadrature du Net jt (C‑511/18, C‑512/18 ja C‑520/18, EU:C:2020:791, punkt 208).

( 11 ) Vt analoogia alusel 13. mai 2014. aasta kohtuotsus Google Spain ja Google (C‑131/12, EU:C:2014:317, punkt 72).

( 12 ) Isikuandmete kaitse üldmääruse artiklis 5 määratletud vastutava töötleja kohustuste sõltumatus ei välista nende kohustuste vahelise seose olemasolu, milleks on käesoleval juhul eesmärkide mõiste. Töötlemise laadi ja eesmärkide kontrollimine on oluline selleks, et hinnata, kas selles sättes ette nähtud põhimõtteid, eelkõige põhikohtuasjas käsitletavate andmete eesmärkide ja säilitamise piirangu põhimõtteid on järgitud.

( 13 ) 22. aprilli 2021. aasta kohtuotsus Profi Credit Slovakia (C‑485/19, EU:C:2021:313, punkt 50).

( 14 ) Hilisemat töötlemist üldsuse huvides arhiveerimise, teadus- või ajaloouuringute või statistika eesmärkidel tuleb pidada isikuandmete kaitse üldmääruse artikli 5 lõike 1 punkti b kohaselt seaduslikuks töötlemiseks kooskõlas algsete eesmärkidega – millega ei ole põhikohtuasja asjaoludel tegemist.

( 15 ) Vt analoogia alusel 13. mai 2014. aasta kohtuotsus Google Spain ja Google (C‑131/12, EU:C:2014:317, punkt 93).

( 16 ) Vt selle kohta 7. mai 2009. aasta kohtuotsus Rijkeboer (C‑553/07, EU:C:2009:293, punkt 33) ja 13. mai 2014. aasta kohtuotsus Google Spain ja Google (C‑131/12, EU:C:2014:317, punkt 92).

( 17 ) Vt selle kohta 7. mai 2009. aasta kohtuotsus Rijkeboer (C‑553/07, EU:C:2009:293, punkt 33).

( 18 ) Nende töötlemistoimingute laadi arvestades näib, et integratsiooni seaduse artikli 6 lõike 1 punktid a ja b on selle töötlemise sobiv õiguslik alus, mis ei tekita pealegi käesolevas asjas mingit vaidlust.

( 19 ) Vt analoogia alusel 20. mai 2003. aasta kohtuotsus Österreichischer Rundfunk jt (C‑465/00, C‑138/01 ja C‑139/01, EU:C:2003:294, punkt 40).

( 20 ) Klientide isikuandmete kogumine ja algses andmebaasis talletamine toimuvad samal ajal samal eesmärgil, milleks on lepingus ette nähtud teenuse osutamine.

( 21 ) Vt Digi seisukohtade punkt 13.

( 22 ) Sõltumatu nõuandeorgan, mis on asutatud direktiivi 95/46 artikli 29 alusel ja mis on alates isikuandmete kaitse üldmääruse vastuvõtmisest asendatud Euroopa Andmekaitsenõukoguga.

( 23 ) Vt analoogia alusel 11. novembri 2020. aasta kohtuotsus Orange Romania (C‑61/19, EU:C:2020:901, punktid 51 ja 52).

( 24 ) Isikuandmete kaitse üldmääruse artikli 13 lõike 3 sisu kinnitab lähenemist, mille kohaselt ei ole eesmärgi täpsuse nõue kohaldatav mitte ainult andmete kogumise etapis, vaid puudutab kõiki andmetöötlustoiminguid.

( 25 ) See säte kajastab vastutavale töötlejale võimaldatud paindlikkust, mille hindamine määrab kindlaks ainult selle, kas andmesubjektile teabe andmise kohustust on täidetud. See võimalus nõuab samas, et järelevalveasutus kontrolliks rangelt töötlemise eesmärke, mis on oluline selleks, et veenduda, kas hilisem töötlemine on õiguspärane ja eelkõige vastab kooskõla nõudele.

( 26 ) Selle kohustuse ulatust vähendab nimelt vabastus ettevõtjatele või organisatsioonidele, kus on vähem kui 250 töötajat, välja arvatud juhul, kui andmetöötlus, mida nad teevad, võib ohustada andmesubjektide õigusi ja vabadusi, kui see ei ole juhuslik või kui see puudutab eelkõige isikuandmete kaitse üldmääruse artikli 9 lõikes 1 osutatud andmete erikategooriaid või isikuandmeid kriminaalkorras süüdimõistmise ja selle akti artiklis 10 nimetatud kuritegude kohta.

( 27 ) 11. novembri 2020. aasta kohtuotsus Orange Romania (C‑61/19, EU:C:2020:901, punkt 48). Märgin huviga, et vastutava töötleja vabastus teavitamiskohustusest juhul, kui isikuandmeid ei ole kogutud andmesubjektilt, nagu on ette nähtud isikuandmete kaitse üldmääruse artikli 14 lõike 5 punktis b, ei ole juhul, kui teabe andmine osutub võimatuks või nõuab ebaproportsionaalseid jõupingutusi, selle määruse artikliga 13 reguleeritud olukordade suhtes kohaldatav.

( 28 ) Tuleb märkida, et kooskõlanõudest vabastatud töötlemiste hulka ei kuulu töötlemised, mis põhinevad isikuandmete kaitse üldmääruse artikli 6 lõike 1 punktil c, mis käsitleb vastutava töötleja seadusjärgse kohustuse täitmiseks vajalikku töötlemist, ja eelkõige selle määruse artikli 5 lõike 1 punktis f ette nähtud töötlemine, mis puudutab piisava andmeturbe tagamist.

( 29 ) Meenutagem, et isikuandmete kaitse üldmääruse artikli 6 lõike 1 punkti a alusel on töötlemine seaduslik, kui andmesubjekt on nõustunud oma isikuandmete töötlemisega „ühel või mitmel konkreetsel eesmärgil“.

( 30 ) See tingimus ei ole käesolevas asjas vaidluse all.

( 31 ) Vt selle kohta 22. juuni 2021. aasta kohtuotsus Latvijas Republikas Saeima (karistuspunktid) (C‑439/19, EU:C:2021:504, punkt 98).

( 32 ) 6. oktoobri 2020. aasta kohtuotsus La Quadrature du Net jt (C‑511/18, C‑512/18 ja C‑520/18, EU:C:2020:791, punkt 210).

( 33 ) Vt analoogia alusel 7. mai 2009. aasta kohtuotsus Rijkeboer (C‑553/07, EU:C:2009:293, punkt 35).

( 34 ) Võttes arvesse tingimusi, milles süükspandav töötlemine toimus, ei ole seda sätet käesolevas asjas kohaldatud.

( 35 ) 13. mai 2014. aasta kohtuotsus Google Spain ja Google (C‑131/12, EU:C:2014:317, punkt 94).

( 36 ) Tuletan ainult meelde, et järeldus, et testandmebaas kustutati kohe pärast „eetilist“ Digit tabanud „eetilise“ häkkeri rünnakut sõltumata lepinguliste suhete jätkumisest asjaomaste abonentidega, läheb radikaalselt vastuollu väitega, et selle andmebaasi alles hoidmine on põhjendatud liitumislepingute täitmisega.

( 37 ) Vt eelkõige Digi seisukohtade punkt 22.