GENERALINIO ADVOKATO

MICHAL BOBEK IŠVADA,

pateikta 2021 m. sausio 13 d. ( 1 )

Byla C‑645/19

Facebook Ireland Limited,

Facebook Inc.,

Facebook Belgium BVBA

prieš

Gegevensbeschermingsautoriteit

(Hof van beroep te Brussel (Briuselio apeliacinis teismas, Belgija) pateiktas prašymas priimti prejudicinį sprendimą)

„Prašymas priimti prejudicinį sprendimą – Asmenų apsauga tvarkant asmens duomenis – Europos Sąjungos pagrindinių teisių chartija – 7, 8 ir 47 straipsniai – Reglamentas (ES) 2016/679 – 55, 56, 58, 60, 61 ir 66 straipsniai – Priežiūros institucijos – Tarpvalstybinis duomenų tvarkymas – Vieno langelio principas – Vadovaujanti priežiūros institucija – Susijusi priežiūros institucija – Kompetencija – Įgaliojimai – Įgaliojimai iškelti bylą teisme“

I. Įvadas

1. Ar pagal Bendrąjį duomenų apsaugos reglamentą ( 2 ) (toliau – BDAR) valstybės narės priežiūros institucijai leidžiama iškelti bylą šios valstybės teisme dėl įtariamo to reglamento pažeidimo, susijusio su tarpvalstybiniu duomenų tvarkymu, jeigu ši institucija nėra vadovaujanti priežiūros institucija, kiek tai susiję su šiuo duomenų tvarkymu?

2. O gal taikant naująjį „vieno langelio“ mechanizmą, pateikiamą kaip vieną svarbiausių BDAR nustatytų naujovių, būtent ir užkertamas kelias tokiai situacijai? Jeigu duomenų valdytojui tektų gintis nuo priežiūros institucijos ieškinio, susijusio su tarpvalstybiniu duomenų tvarkymu, pareikšto kitame teisme nei duomenų valdytojo pagrindinės buveinės vietos teismas, ar tai jau reikštų, kad yra „vienu langeliu per daug“ ir nesuderinama su naujuoju BDAR mechanizmu?

II. Teisinis pagrindas

A. Sąjungos teisė

3. BDAR preambulėje pažymėta, be kita ko, kad „Direktyvos 95/46/EB tikslai ir principai tebėra pagrįsti, tačiau ji neužkirto kelio suskaidytam duomenų apsaugos įgyvendinimui Sąjungoje [ir] teisiniam netikrumui“ (9 konstatuojamoji dalis); visoje Sąjungoje turėtų būti užtikrintas nuoseklus ir vienodas taisyklių, kuriomis reglamentuojama fizinių asmenų pagrindinių teisių ir laisvių apsauga tvarkant asmens duomenis, taikymas (10 konstatuojamoji dalis); priežiūros institucijos turėtų stebėti, kaip taikomos taisyklės, ir padėti jas nuosekliai taikyti, kad būtų apsaugoti fiziniai asmenys ir sudarytos palankesnės sąlygos laisvam asmens duomenų judėjimui vidaus rinkoje (123 konstatuojamoji dalis); tarpvalstybinio duomenų tvarkymo atvejais „duomenų valdytojo ar duomenų tvarkytojo pagrindinės buveinės arba duomenų valdytojo ar duomenų tvarkytojo vienintelės buveinės priežiūros institucija turėtų veikti kaip vadovaujanti institucija“ ir ši institucija turėtų „bendradarbiauti su kitomis susijusiomis institucijomis“ (124 konstatuojamoji dalis).

4. Pagal BDAR 51 straipsnio 1 dalį „kiekviena valstybė narė užtikrina, kad viena arba kelios nepriklausomos valdžios institucijos yra atsakingos už šio reglamento taikymo stebėseną, kad būtų apsaugotos fizinių asmenų pagrindinės teisės ir laisvės tvarkant duomenis ir sudarytos palankesnės sąlygos laisvam asmens duomenų judėjimui Sąjungoje (toliau – priežiūros institucija)“.

5. Pagal BDAR 55 straipsnio 1 dalį „kiekviena priežiūros institucija turi kompetenciją savo valstybės narės teritorijoje vykdyti pagal šį reglamentą jai pavestas užduotis ir naudotis pagal šį reglamentą jai suteiktais įgaliojimais.“

6. BDAR 56 straipsnis susijęs su vadovaujančios priežiūros institucijos kompetencija. Šios nuostatos 1 dalyje nurodyta: „Nedarant poveikio 55 straipsniui, duomenų valdytojo arba duomenų tvarkytojo pagrindinės buveinės arba vienintelės buveinės priežiūros institucija turi kompetenciją veikti kaip vadovaujanti priežiūros institucija, kai tas duomenų valdytojas arba duomenų tvarkytojas vykdo tarpvalstybinį duomenų tvarkymą, vadovaujantis 60 straipsnyje nustatyta procedūra.“

7. 56 straipsnio 2–5 dalyse numatyta, kad, nukrypstant nuo šio straipsnio 1 dalies, „kiekviena priežiūros institucija turi kompetenciją nagrinėti jai pateiktą skundą arba galimą šio reglamento pažeidimą, jeigu dalykas yra susijęs tik su buveine jos valstybėje narėje arba daro didelį poveikį duomenų subjektams tik jos valstybėje narėje“. Šiuos atvejus gali nagrinėti vadovaujančios priežiūros institucijos BDAR 60 straipsnyje nustatyta tvarka arba „[t]uo atveju, jei vadovaujanti priežiūros institucija nusprendžia šio atvejo nenagrinėti“, vietos priežiūros institucija, laikydamasi BDAR 61 ir 62 straipsniuose nustatytos tvarkos.

8. 56 straipsnio 6 dalyje nurodyta, kad „vadovaujanti priežiūros institucija yra vienintelė institucija, su kuria duomenų valdytojas arba duomenų tvarkytojas palaiko ryšius, kai jie vykdo tarpvalstybinį duomenų tvarkymą“.

9. BDAR 58 straipsnio 5 dalyje, susijusioje su priežiūros institucijų įgaliojimais, numatyta: „Kiekviena valstybė narė teisės aktais nustato, kad jos priežiūros institucija turi įgaliojimus atkreipti teisminių institucijų dėmesį į šio reglamento pažeidimus ir tam tikrais atvejais pradėti teismo procesą arba kitaip dalyvauti teismo procese siekiant užtikrinti šio reglamento nuostatų vykdymą.“

10. BDAR VII skyriuje „Bendradarbiavimas ir nuoseklumas“ yra 60–76 straipsniai. 60 straipsnyje „Vadovaujančios priežiūros institucijos ir kitų susijusių priežiūros institucijų bendradarbiavimas“ nustatyta išsami procedūra, kurios vadovaujančios priežiūros institucijos turi laikytis tarpvalstybinio duomenų tvarkymo atvejais.

11. BDAR 61 straipsnio 2 dalyje, susijusioje su savitarpio pagalba, kiekvienos priežiūros institucijos reikalaujama imtis „visų būtinų tinkamų priemonių, kad atsakytų į kitos priežiūros institucijos prašymą nepagrįstai nedelsdama ir ne vėliau kaip per vieną mėnesį nuo jo gavimo“. BDAR 61 straipsnio 8 dalyje nurodyta, kad jeigu priežiūros institucija nepateikia prašomos informacijos, prašymą pateikusi priežiūros institucija gali patvirtinti laikinąją priemonę savo valstybės narės teritorijoje, o būtinybė imtis skubių veiksmų pagal 66 straipsnio 1 dalį yra preziumuojama.

12. BDAR 65 straipsnio „Europos duomenų apsaugos valdybos sprendžiami ginčai“ 1 dalies a punkte numatyta, kad, siekiant užtikrinti tinkamą ir nuoseklų šio reglamento taikymą atskirais atvejais, Europos duomenų apsaugos valdyba (toliau – Valdyba) turi priimti privalomą sprendimą, be kita ko, tais atvejais, kai atitinkama priežiūros institucija yra pareiškusi tinkamą ir pagrįstą prieštaravimą dėl vadovaujančios institucijos sprendimo projekto arba jeigu vadovaujanti institucija yra atmetusi tokį prieštaravimą kaip netinkamą arba nepagrįstą.

13. 66 straipsnio 1 dalyje, susijusioje su skubos procedūra, numatyta, kad išimtinėmis aplinkybėmis, jeigu susijusi priežiūros institucija mano, kad būtina imtis skubių veiksmų apsaugoti duomenų subjektų teises ir laisves, ji, nukrypdama nuo nuoseklumo užtikrinimo mechanizmo, gali „nedelsdama priimti konkretų ne ilgiau kaip tris mėnesius trunkantį laikotarpį galiojančias laikinąsias priemones, galinčias turėti teisinių padarinių jos pačios valstybės narės teritorijoje“.

14. BDAR VIII skyriuje „Teisių gynimo priemonės, atsakomybė ir sankcijos“ yra 77–84 straipsniai. 77 straipsnio 1 dalyje kiekvienam duomenų subjektui suteikiama teisė paduoti skundą priežiūros institucijai dėl galimų reglamento pažeidimų, susijusių su jo asmens duomenų tvarkymu, „visų pirma valstybėje narėje, kurioje yra jo nuolatinė gyvenamoji vieta, darbo vieta arba vieta, kurioje padarytas įtariamas pažeidimas“. BDAR 78 straipsnio 1 ir 2 dalyse kiekvienam fiziniam ar juridiniam asmeniui suteikiama teisė imtis veiksmingų teisminių teisių gynimo priemonių dėl, be kita ko, priežiūros institucijos dėl šio asmens priimto teisiškai privalomo sprendimo, taip pat prieš priežiūros instituciją, kuri neišnagrinėja skundo.

B. Nacionalinė teisė

15. Wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (1992 m. gruodžio 8 d. Įstatymas dėl privatumo apsaugos tvarkant asmens duomenis; toliau – WVP) su pakeitimais į nacionalinę teisę buvo perkelta 1995 m. spalio 24 d. Europos Parlamento ir Tarybos direktyva 95/46/EB dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ( 3 ). Minėtu įstatymu, be kita ko, įsteigta Belgijos privatumo komisija. Pagal jo 32 straipsnio 3 dalį „nedarant poveikio bendrosios kompetencijos teismų jurisdikcijai, susijusiai su bendrųjų privatumo apsaugos principų taikymu, [Privatumo komisijos] pirmininkas gali pirmosios instancijos teismui perduoti bet kokį ginčą dėl šio įstatymo ir jo įgyvendinimo nuostatų taikymo“.

16. Pagal Wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit (2017 m. gruodžio 3 d. Įstatymas, kuriuo įsteigiama Belgijos duomenų apsaugos institucija, toliau – DAI įstatymas), įsigaliojusio 2018 m. gegužės 25 d., 3 straipsnį vietoj Privatumo komisijos buvo įsteigta Duomenų apsaugos institucija (toliau – DAI). Pagal šio įstatymo 6 straipsnį DAI „yra įgaliota atkreipti teisminių institucijų dėmesį dėl bet kokio asmens duomenų apsaugą reglamentuojančių pagrindinių principų pažeidimo pagal šį įstatymą ir įstatymus, kuriuose įtvirtintos nuostatos dėl asmens duomenų tvarkymo apsaugos, ir atitinkamais atvejais iškelti bylą teisme, kad šie pagrindiniai principai būtų taikomi“.

17. DAI įstatyme nebuvo jokios konkrečios nuostatos dėl pagal WVP 32 straipsnio 3 dalį iškeltų bylų, kurios 2018 m. gegužės 25 d. dar buvo nagrinėjamos.

18. WVP buvo panaikintas Wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens (2018 m. liepos 30 d. Įstatymas dėl asmenų apsaugos tvarkant asmens duomenis). Šiuo įstatymu įgyvendinamos BDAR nuostatos, pagal kurias valstybės narės įpareigojamos arba joms leidžiama nustatyti išsamesnes taisykles, kuriomis būtų papildytos bendrosios taisyklės.

III. Faktinės aplinkybės, nacionalinis procesas ir pateikti klausimai

19. 2015 m. rugsėjo 11 d. Belgijos privatumo komisijos, kuri vėliau tapo DAI, pirmininkas iškėlė bylą Facebook Inc.C, Facebook Ireland Ltd ir Facebook Belgium BVBA (toliau kartu – Facebook) Nederlandstalige rechtbank van eerste aanleg Brussel (Briuselio pirmosios instancijos teismas, bylas nagrinėjantis nyderlandų kalba, Belgija). Ši byla susijusi su kaltinimais Facebook pažeidus duomenų apsaugos teisės aktus, kai Facebook, be kita ko, neteisėtai rinko ir naudojo informaciją apie interneto naudotojų privatų naršymą Belgijoje, naudodama tokias technologijas, kaip „slapukai“, „socialiniai moduliai“ ir „pikseliai“.

20. Iš esmės DAI teigia, kad Facebook naudoja įvairias technologijas, siekdama stebėti asmenis, kol jie naršo interneto svetainėse, ir tada profiliuodama jų naršymo elgesį naudoja surinktą informaciją ir tuo remdamasi rodo tikslinę reklamą, tinkamai neinformuodama atitinkamų asmenų arba negaudama galiojančio jų sutikimo. DAI nurodo, kad Facebook vykdo tokią veiklą, nepaisydama to, ar atitinkamas asmuo yra užsiregistravęs Facebook socialiniame tinkle.

21. DAI paprašė įpareigoti Facebook bet kuriam Belgijos teritorijoje įsteigtam interneto vartotojui be jo sutikimo nebediegti slapukų, kurie išlieka aktyvūs dvejus metus tame įrenginyje, kurį naudotojas naudoja, kai lankosi interneto domeno Facebook.com vardą turinčioje arba trečiojo asmens interneto svetainėje, taip pat neberinkti duomenų naudojant socialinius modulius ir pikselius trečiųjų asmenų interneto svetainėse. DAI taip pat prašė ištrinti visus naudojant slapukus ir socialinius modulius gautus asmens duomenis apie kiekvieną Belgijos teritorijoje įsteigtą interneto vartotoją.

22. 2015 m. lapkričio 9 d. laikinąja nutartimi Nederlandstalige rechtbank van eerste aanleg Brussel (Briuselio pirmosios instancijos teismas, bylas nagrinėjantis nyderlandų kalba) pirmininkas konstatavo, kad turi jurisdikciją nagrinėti bylą ir kad ieškinys yra priimtinas dėl visų trijų atsakovų. Minėtas teismas taip pat priėmė laikinąją nutartį, ja įpareigojo atsakovus nutraukti tam tikrą veiklą Belgijos teritorijoje įsteigtų interneto naudotojų atžvilgiu.

23. 2016 m. kovo 2 d.Facebook apskundė minėtą nutartį Hof van beroep te Brussel (Briuselio apeliacinis teismas, Belgija). 2016 m. birželio 29 d. sprendimu minėtas teismas iš dalies pakeitė pirmosios instancijos teismo nutartį. Visų pirma jis nusprendė, kad neturi jurisdikcijos nagrinėti prieš Facebook Inc. ir Facebook Ireland Ltd pareikštų ieškinių, bet turi jurisdikciją nagrinėti Facebook Belgium BVBA pareikštą ieškinį. Taigi pagrindinėje byloje teliko nagrinėti ieškinius prieš Facebook Belgium. Minėtas teismas taip pat pripažino, kad nėra reikalo bylą nagrinėti skubos tvarka.

24. Kaip suprantu, šiuo metu Hof van beroep te Brussel (Apeliacinis teismas, Briuselis) nagrinėjama byla susijusi su apeliaciniu skundu dėl paskesnio sprendimo, kurį priėmė pirmosios instancijos teismas. Apeliaciniame procese Facebook Belgium BVBA teigia, be kita ko, kad nuo tada, kai pradėjo veikti naujojo BDAR „vieno langelio“ mechanizmas, DAI prarado kompetenciją tęsti pagrindinę bylą, nes ji nebėra vadovaujanti priežiūros institucija. Kalbant apie nagrinėjamą tarpvalstybinį duomenų tvarkymą, pažymėtina, kad vadovaujanti priežiūros institucija būtų Airijos duomenų apsaugos komisija. Duomenų valdytojo pagrindinė buveinė Sąjungoje yra Airijoje (Facebook Ireland Ltd).

25. Tokiomis aplinkybėmis Hof van beroep te Brussel (Briuselio apeliacinis teismas) nusprendė sustabdyti bylos nagrinėjimą ir pateikti Teisingumo Teismui tokius prejudicinius klausimus: „1. Ar [BDAR] 55 straipsnio 1 dalis, 56–58 straipsniai ir 60–66 straipsniai, kartu su Europos Sąjungos pagrindinių teisių chartijos 7, 8 ir 47 straipsniais, turi būti aiškinami taip, kad priežiūros institucija, turinti kompetenciją pagal nacionalinės teisės aktus, priimtus siekiant įgyvendinti šio reglamento 58 straipsnio 5 dalį, pareikšti ieškinį savo valstybės narės teisme dėl šio reglamento pažeidimų, negali šia kompetencija pasinaudoti tuo atveju, kai yra vykdomas tarpvalstybinis duomenų tvarkymas, jeigu ji nėra šio tarpvalstybinio duomenų tvarkymo vadovaujanti priežiūros institucija? 2. Ar turi reikšmės tai, kad duomenų valdytojas, vykdantis tarpvalstybinį duomenų tvarkymą, neturi pagrindinės buveinės toje valstybėje narėje, tačiau turi kitą buveinę? 3. Ar turi reikšmės tai, ar nacionalinė priežiūros institucija pareiškia ieškinį duomenų valdytojo pagrindinei buveinei, ar buveinei savo valstybėje narėje? 4. Ar turi reikšmės tai, kad nacionalinė priežiūros institucija pareiškė ieškinį iki šio reglamento įsigaliojimo dienos (2018 m. gegužės 25 d.)? 5. Jei į pirmąjį klausimą būtų atsakyta teigiamai: ar BDAR 58 straipsnio 5 dalis veikia tiesiogiai, todėl nacionalinė priežiūros institucija gali remtis šia nuostata, kad galėtų inicijuoti arba tęsti teisminę procedūrą prieš atskiras šalis, net jei šio reglamento 58 straipsnio 5 dalis nebuvo perkelta į nacionalinę teisę, nors toks įpareigojimas yra nustatytas? 6. Jei į ankstesnius klausimus būtų atsakyta teigiamai, ar tokių procedūrų rezultatas gali prieštarauti vadovaujančios priežiūros institucijos priešingam sprendimui, jei vadovaujanti priežiūros institucija nagrinėja tas pačias ar panašias tarpvalstybinio duomenų tvarkymo operacijas pagal mechanizmą, įtvirtintą BDAR 56 ir 60 straipsniuose?“

26. Rašytines pastabas pateikė Facebook, DAI, Belgijos, Čekijos, Italijos, Lenkijos, Portugalijos ir Suomijos vyriausybės, taip pat Europos Komisija. 2020 m. spalio 5 d. įvykusiame teismo posėdyje žodines pastabas pateikė Facebook, DAI ir Komisija.

IV. Analizė

27. Trumpai tariant, svarbiausias pagrindinėje byloje kilęs klausimas yra tas, ar DAI gali toliau tęsti Facebook Belgium iškeltą bylą dėl tarpvalstybinio asmens duomenų tvarkymo po to, kai BDAR tapo taikomas, turint omenyje tai, kad duomenis tvarkantis subjektas yra Facebook Ireland Ltd.

28. Siekiant išnagrinėti šį klausimą, reikia įvertinti mechanizmo, kuris pačiame BDAR (jo 127 konstatuojamojoje dalyje) vadinamas „vieno langelio“ mechanizmu, taikymo sritį ir veikimą. Šį mechanizmą sudaro rinkinys taisyklių, pagal kurias, esant tarpvalstybiniam duomenų tvarkymui, atsiranda pagrindinis vykdymo užtikrinimo centras pasitelkiant vadovaujančią priežiūros instituciją (toliau – VPI), kuri dalyvauja bendradarbiavimo ir nuoseklumo procedūrų sistemoje kartu su susijusiomis priežiūros institucijomis (toliau – SPI), kad būtų užtikrintas visų suinteresuotųjų priežiūros institucijų dalyvavimas.

29. Pagal BDAR 56 straipsnio 1 dalį priežiūros institucija veikia kaip VPI, kai duomenų valdytojai ir duomenų tvarkytojai, kurių pagrindinė arba vienintelė buveinė yra jos teritorijoje, vykdo tarpvalstybinį duomenų tvarkymą. Pagal BDAR 4 straipsnio 22 punktą priežiūros institucija veikia kaip SPI, jeigu yra įvykdoma viena iš toliau nurodytų sąlygų: „a) duomenų valdytojas arba duomenų tvarkytojas yra įsisteigęs tos priežiūros institucijos valstybės narės teritorijoje; b) duomenų tvarkymas daro arba gali padaryti didelį poveikį tos priežiūros institucijos valstybėje narėje gyvenantiems duomenų subjektams; arba c) skundas buvo pateiktas tai priežiūros institucijai“.

30. Prieš nagrinėjant pateiktų prejudicinių klausimų esmę, reikėtų pateikti kelias pirmines pastabas (A). Tada nagrinėsiu prašymą priimti prejudicinį sprendimą pateikusio teismo iškeltus teisinius klausimus. Daugiausia dėmesio skirsiu būtent pirmajam prejudiciniam klausimui, nes jis atskleidžia prašymą priimti prejudicinį sprendimą pateikusiame teisme nagrinėjamo ginčo esmę (B). Tada tik glaustai išnagrinėsiu kitus prejudicinius klausimus, nes jeigu į pirmąjį prejudicinį klausimą būtų atsakyta taip, kaip siūlau šioje išvadoje, į kitus klausimus atsakyti nereikėtų arba atsakymas būtų gana aiškus (C).

A. Pirminės pastabos

31. Iš pradžių reikėtų pažymėti, kad man sunku visiškai suprasti kai kuriuos pagrindinės bylos aspektus.

32. Pirma, reikėtų pripažinti, kad man nėra visiškai akivaizdi pagrindinėje byloje iškeltų klausimų svarba, atsižvelgiant į tai, kad atrodo, jog iš šalių, kurioms DAI pareiškė ieškinį, pagrindinėje byloje liko tik viena atsakovė – Facebook Belgium ( 4 ). Iš Teisingumo Teismo turimos bylos medžiagos atrodo, kad ši bendrovė nėra nei duomenų valdytojo „pagrindinė buveinė“ pagal BDAR 4 straipsnio 16 punktą, nei galimai „bendras duomenų valdytojas“, kaip jis suprantamas pagal BDAR 26 straipsnį, nes, regis, ji yra tos pačios įmonės padalinys ( 5 ).

33. Vis dėlto prejudiciniams klausimams taikoma svarbos prezumpcija. Teisingumo Teismas atsisako priimti sprendimą tik ribotais atvejais, visų pirma, jeigu nėra įvykdomi Teisingumo Teismo procedūros reglamento 94 straipsnio reikalavimai arba akivaizdu, kad atitinkamos Sąjungos teisės nuostatos aiškinimas visiškai nesusijęs su pagrindinės bylos faktais, arba kai klausimai yra (visiškai) hipotetiniai ( 6 ). Mano nuomone, šioje byloje taip nėra. Klausimai „kas yra kas“ ir „kas gali būti persekiojamas už ką“ nėra tik faktinių aplinkybių, kurias galiausiai turi įvertinti nacionalinis teismas, vertinimas, bet tam tikru požiūriu tai yra vienas iš Teisingumo Teismui pateiktų klausimų aspektų.

34. Antra, taip pat nėra lengva suprasti pagrindinės bylos laiko aspektą. Ieškinys buvo pareikštas dar tada, kai galiojo Direktyva 95/46. Jis vis dar buvo nagrinėjamas, kai BDAR tapo taikytinas. Vis dėlto atrodo, kad dabar byla susijusi tik su elgesiu po šio naujojo teisės akto įsigaliojimo. Iš tiesų kyla klausimas, ar tai, kad DAI toliau tęsia bylą, atitinka BDAR nuostatas, ir to klausiama ketvirtajame prejudiciniame klausime. Tačiau šie klausimai būtų svarbūs pagrindinėje byloje tik tuo atveju, jeigu nacionalinė institucija norėtų užbaigti nagrinėjamą bylą dėl įtariamų pažeidimų, padarytų iki tol, kol šis naujasis teisės aktas tapo taikytinas. Bet jeigu tebenagrinėjama byla šiuo etapu būtų susijusi tik su įtariamu pažeidimu, tęsiamu po to, kai BDAR buvo pradėtas taikyti, ir galbūt su siekiu, kad tokia veikla būtų uždrausta teismo (o tai neišvengiamai yra į ateitį orientuota priemonė), sunku suprasti, kodėl DAI, jeigu ji mano, kad turi kompetenciją įsikišti, nenutraukė šiuo metu nagrinėjamos bylos ir nesiėmė veiksmų pagal atitinkamas BDAR nuostatas.

35. Trečia, per teismo posėdį DAI nurodė informaciją, kuria keitėsi su Airijos priežiūros institucija ir Valdyba dėl vienos iš technologijų, kurią Facebook naudojo duomenims (slapukams) rinkti. Buvo nurodyta, kad abi priežiūros institucijos nesutaria dėl to, ar ji iš tiesų patenka į BDAR taikymo sritį ratione materiae.

36. Šiuo klausimu ir, kiek tai susiję su šia byla, vertėtų pažymėti, kad tam tikra duomenų tvarkymo veikla tikrai gali patekti į daugiau negu vieno Sąjungos teisės akto materialinę taikymo sritį, ir tokiu atveju visos šios priemonės, išskyrus atvejus, kai numatyta kitaip, būtų taikomos kartu ( 7 ). Vis dėlto kitais atvejais, pavyzdžiui, kai duomenų tvarkymo veikla neapima asmens duomenų, kaip jie suprantami pagal BDAR 4 straipsnio 1 punktą, akivaizdu, kad BDAR netaikomas.

37. Taigi, jeigu įtariamą tam tikro duomenų tvarkymo neteisėtumą lemia kitos (Sąjungos arba nacionalinės) teisės nuostatos, BDAR nustatytos procedūros ir mechanizmai netaikomi. BDAR negali būti naudojamasi kaip priemone pritaikyti „vieno langelio“ mechanizmą tam tikrų formų elgesiui, kuris, nors apima tam tikrą duomenų judėjimą ar net jų tvarkymą, nepažeidžia jokių jame nustatytų įpareigojimų.

38. Sprendžiant, ar byla iš tiesų patenka į BDAR ratione materiae taikymo sritį, nacionalinis teismas, potencialiai įskaitant prašymą priimti prejudicinį sprendimą pateikusį teismą, turėtų kelti klausimą dėl tikslaus šaltinio, iš kurio kyla teisinė prievolė, tenkanti ekonominės veiklos vykdytojui, kuris, kaip teigiama, šią prievolę pažeidė. Jeigu šios prievolės šaltinis yra ne BDAR, tada logiška, kad jame nustatytos procedūros, susietos su šio teisės akto materialine taikymo sritimi, taip pat nebus taikomos.

B. Pirmasis klausimas

39. Pirmuoju klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės siekia išsiaiškinti, ar pagal BDAR nuostatas, aiškinamas atsižvelgiant į Europos Sąjungos pagrindinių teisių chartijos (toliau – Chartija) 7, 8 ir 47 straipsnius, valstybės narės priežiūros institucijai leidžiama pareikšti ieškinį šios valstybės teisme dėl nurodomo BDAR pažeidimo, susijusio su tarpvalstybiniu duomenų tvarkymu, net jei ši institucija nėra „vadovaujanti priežiūros institucija“.

40. DAI, Belgijos, Italijos, Lenkijos ir Portugalijos vyriausybės siūlo Teisingumo Teismui teigiamai atsakyti į šį klausimą, o Facebook, Čekijos, Suomijos vyriausybės ir Komisija laikosi priešingos pozicijos.

41. Kitoje dalyje paaiškinsiu, kodėl man DAI, Belgijos, Italijos, Lenkijos ir Portugalijos vyriausybių siūlomas BDAR aiškinimas neatrodo įtikinamas: pažodinis ir sisteminis (1), taip pat teleologinis ir istorinis (2) BDAR aiškinimas akivaizdžiai patvirtina priešingai. Be to, nei reglamento aiškinimas atsižvelgiant į Chartiją (3), nei nurodoma galimai nepakankamo BDAR vykdymo užtikrinimo rizika (4) šiuo etapu tikrai neleidžia suabejoti, mano nuomone, tinkamu BDAR aiškinimu.

42. Atsižvelgdamas į tai, laikausi nuomonės, kad būtent toks BDAR aiškinimas nesukelia tokių kraštutinių padarinių kaip tie, kuriuos siūlo Facebook, Čekijos ir Suomijos vyriausybės bei Komisija. Paaiškinsiu, kodėl prašymą priimti prejudicinį sprendimą pateikusiam teismui pateiktinas atsakymas turėtų būti per vidurį tarp šioje byloje išreikštų dviejų pozicijų: valstybės narės priežiūros institucija turi teisę pareikšti ieškinį šios valstybės teisme dėl įtariamo BDAR pažeidimo, susijusio su tarpvalstybiniu duomenų tvarkymu, nors ji ir nėra VPI, jeigu ji tai daro BDAR nurodytose situacijose ir laikydamasi jame nustatytos tvarkos (5).

1. Pažodinis ir sisteminis BDAR aiškinimas

43. Pirmiausia man atrodo, kad bylai reikšmingų nuostatų tekstas, visų pirma aiškinant jį atsižvelgiant į šių nuostatų kontekstą, patvirtina tokį BDAR aiškinimą, pagal kurį VPI turi bendrą kompetenciją tarpvalstybinio duomenų tvarkymo srityje, o SPI šioje srityje suteikiami riboti įgaliojimai imtis veiksmų.

44. BDAR 56 straipsnio 1 dalyje nurodyta, kad „duomenų valdytojo arba duomenų tvarkytojo pagrindinės buveinės arba vienintelės buveinės priežiūros institucija turi kompetenciją veikti kaip vadovaujanti priežiūros institucija, kai tas duomenų valdytojas arba duomenų tvarkytojas vykdotarpvalstybinį duomenų tvarkymą, vadovaujantis 60 straipsnyje nustatyta procedūra“ ( 8 ). Pagal BDAR 56 straipsnio 6 dalį „vadovaujanti priežiūros institucija yra vienintelė institucija, su kuria duomenų valdytojas arba duomenų tvarkytojas palaiko ryšius, kai jie vykdo tarpvalstybinį duomenų tvarkymą“ ( 9 ). 124 konstatuojamojoje dalyje šios nuostatos atspindėtos, iš esmės nurodant, kad tarpvalstybinio duomenų tvarkymo atveju „duomenų valdytojo ar duomenų tvarkytojo pagrindinės buveinės arba duomenų valdytojo ar duomenų tvarkytojo vienintelės buveinės priežiūros institucija turėtų veikti kaip vadovaujanti institucija“ ( 10 ).

45. VPI bendrą kompetenciją tarpvalstybinio duomenų tvarkymo srityje papildomai patvirtina tai, kad situacijos, kai kompetencija, susijusi su tarpvalstybiniu duomenų tvarkymu, suteikiama kitoms priežiūros institucijoms, apibūdintos kaip bendrosios taisyklės išimtys. Visų pirma BDAR 55 straipsnio 2 dalyje numatyta, kad VPI negali turėti kompetencijos, jeigu „duomenis tvarko valdžios institucijos“. Be to, BDAR 56 straipsnio 2 dalyje nurodyta, kad, nukrypstant nuo principo, kad kompetencija priklauso VPI, „kiekviena priežiūros institucija turi kompetenciją nagrinėti jai pateiktą skundą arba galimą šio reglamento pažeidimą, jeigu dalykas yra susijęs tik su buveine jos valstybėje narėje arba daro didelį poveikį duomenų subjektams tik jos valstybėje narėje“.

46. Be to, BDAR 66 straipsnyje, susijusiame su „skubos procedūra“, kiekviena SPI „išimtinėmis aplinkybėmis“, kai yra skubus poreikis imtis veiksmų, kad būtų apsaugotos duomenų subjektų teisės ir laisvės, įgaliojama nedelsiant nustatyti laikinąsias priemones, galinčias sukelti teisinius padarinius jos pačios teritorijoje, nustatant konkretų galiojimo laikotarpį, kuris neturi viršyti trijų mėnesių, „nukrypdama“ nuo BDAR 60, 63, 64 ir 65 straipsniuose nurodytų bendradarbiavimo ir nuoseklumo mechanizmų.

47. Taigi man iš BDAR teksto atrodo gana aišku, kad, kalbant apie tarpvalstybinį duomenų tvarkymą, VPI kompetencija yra taisyklė, o kitų priežiūros institucijų kompetencija yra išimtis ( 11 ).

48. Vis dėlto DAI ir kai kurios vyriausybės ginčija tokį BDAR aiškinimą. Jų nuomone, iš bylai reikšmingų nuostatų teksto galima spręsti apie (beveik neribotą) bet kurios priežiūros institucijos teisę pradėti teismo procesą dėl galimų pažeidimų, turinčių poveikį jų teritorijai, neatsižvelgiant į tai, ar duomenų tvarkymas yra tarpvalstybinis pagal savo pobūdį. Jos iš esmės remiasi dviem argumentais.

49. Pirma, jos teigia, kad žodžiai „nedarant poveikio 55 straipsniui“, kuriais pradedama 56 straipsnio 1 dalis, reiškia, kad pastarąja nuostata VPI suteikta kompetencija negali kirstis su įgaliojimais, kurie pagal 55 straipsnį yra suteikti kiekvienai priežiūros institucijai, įskaitant įgaliojimus iškelti bylą teisme, ir šie įgaliojimai negali būti ribojami.

50. Manęs toks argumentas neįtikina.

51. 55 straipsnio 1 dalyje nustatytas principas, kad kiekviena priežiūros institucija „turi kompetenciją savo valstybės narės teritorijoje vykdyti pagal šį reglamentą jai pavestas užduotis ir naudotis pagal šį reglamentą jai suteiktais įgaliojimais“. Šios užduotys išvardytos BDAR 57 straipsnyje. Įgaliojimai išvardyti jo 58 straipsnyje. Viena iš pavestų užduočių yra stebėti, kaip taikomas BDAR, ir užtikrinti jo taikymą (57 straipsnio 1 dalies a punktas). Įgaliojimai, kurie turi būti suteikti pagal 58 straipsnį, apima įvairius tyrimo (1 dalis), taisomųjų veiksmų (2 dalis), leidimo išdavimo ir patariamuosius (3 dalis) įgaliojimus, taip pat įgaliojimus pradėti teismo procesą (5 dalis).

52. Iš esmės minėtos nuostatos, į kurias 55 straipsnyje numanomai daroma nuoroda, apima visas užduotis ir įgaliojimus, kurie turėtų būti suteikti priežiūros institucijoms pagal BDAR. Jeigu būtų vadovaujamasi DAI ir kai kurių vyriausybių pateikiamu aiškinimu, VPI neliktų beveik jokios bendros kompetencijos, todėl 56 straipsnis netektų reikšmės. VPI nebūtų „vienintelė“ institucija, su kuria palaikomi ryšiai, ir niekaip „nevadovautų“ kitoms priežiūros institucijoms. Jos vaidmuo būtų susiaurintas iki „informacinio punkto“, neturinčio jokios aiškiai apibrėžtos misijos.

53. VPI suteikto vaidmens ir netiesiogiai – vieno langelio mechanizmo svarba tampa dar aiškesnė aiškinant visas šias nuostatas kartu ir atsižvelgiant į jų kontekstą.

54. Tai pirmiausia rodo 56 straipsniui BDAR sistemoje suteikta reikšmė. 56 straipsnis yra antroji atitinkamo BDAR skyriaus (VI skyrius „Nepriklausomos priežiūros institucijos“, 2 skirsnis „Kompetencija, užduotys ir įgaliojimai“) nuostata ir eina iš karto po bendrosios nuostatos dėl „kompetencijos“ ir prieš kitas bendrąsias nuostatas dėl „užduočių“ ir „įgaliojimų“. Taigi Sąjungos teisės aktų leidėjas nusprendė pabrėžti VPI kompetencijos svarbą dar prieš išdėstydamas konkrečias visų priežiūros institucijų užduotis ir įgaliojimus.

55. Dar svarbiau yra tai, kad VPI vaidmens reikšmę taip pat parodo BDAR VII skyriaus („Bendradarbiavimas ir nuoseklumas“) nuostatos, kuriose įtvirtintos įvairios procedūros ir mechanizmai, kuriais priežiūros institucijos turi vadovautis, siekdamos užtikrinti nuoseklų BDAR taikymą. Visų pirma 60 straipsnyje, kuriuo šis skyrius pradedamas ir į kurį daroma nuoroda 56 straipsnio 1 dalyje, nustatoma „vadovaujančios priežiūros institucijos ir kitų susijusių priežiūros institucijų bendradarbiavim[o]“ procedūra.

56. Aišku, kad ši procedūra turi būti taikoma tada, kai yra būtina imtis vykdymo užtikrinimo veiksmų dėl tarpvalstybinio duomenų tvarkymo. Ši procedūra, kaip ir bet kuri kita BDAR VII skyriuje numatyta procedūra, nėra pasirinktinė. Imperatyvios formuluotės, visų pirma BDAR 51 straipsnio 2 dalyje ir 63 straipsnyje, vienareikšmiai rodo, kad priežiūros institucijos privalo bendradarbiauti ir turi tai daryti (privalomai) naudodamos šiuo tikslu nustatytas procedūras ir mechanizmus.

57. Taigi 56 straipsnio 1 dalies žodžiai „nedarant poveikio 55 straipsniui“ turi kitokią reikšmę, nei nurodo DAI. Mano nuomone, tokia frazė, atsižvelgiant į jos kontekstą, tiesiog reiškia, kad net jei konkrečiu atveju, susijusiu su tarpvalstybiniu duomenų tvarkymu, būtent VPI yra kompetentinga pagal BDAR 56 straipsnį, logiška, kad visos priežiūros institucijos išlaiko bendruosius įgaliojimus, suteiktus joms pagal BDAR 55 straipsnį (ir 58 straipsnį).

58. Pagal BDAR 55 straipsnio 1 dalį valstybės narės privalo sudaryti priežiūros institucijai galimybes vykdyti šiame reglamente numatytas užduotis ir naudotis jame numatytais įgaliojimais. Taigi šioje nuostatoje bet kuriai priežiūros institucijai suteikiami bendri įgaliojimai (arba kompetencija) imtis veiksmų jos teritorijoje ir taip yra, nepaisant to („nedarant poveikio“), ar duomenų tvarkymas yra tarpvalstybinis pagal jo pobūdį, ar ne, o jeigu duomenų tvarkymas yra tarpvalstybinis, nagrinėjama institucija veikia kaip VPI arba kaip SPI ( 12 ). Vis dėlto BDAR 55 straipsnyje nereglamentuojamos situacijos ir būdas, kaip šie įgaliojimai imtis veiksmų turi būti įgyvendinti konkrečiu atveju. Iš tiesų šie aspektai reglamentuojami kitose BDAR nuostatose, visų pirma jo VII skyriaus nuostatose. Pagal šias nuostatas tai, ar priežiūros institucija gali naudotis bendraisiais įgaliojimais imtis veiksmų, ir būdas, kurį naudodama ji tai daro, priklauso, be kita ko, nuo to, ar dėl konkretaus duomenų valdytojo arba duomenų tvarkytojo ši institucija yra VPI, ar SPI ( 13 ).

59. Taigi šiuo klausimu ir, kalbant apie rezultatą, pritariu Valdybai, kuri neseniai priimtoje nuomonėje BDAR 56 straipsnio 1 dalį apibūdino kaip „imperatyvią normą“ ir „lex specialis“: ši nuostata „turi pirmenybę [prieš BDAR 55 straipsnio bendrąją normą] visais atvejais, kai susiklosto bet kokia su duomenų tvarkymu susijusi situacija, atitinkanti joje nurodytas sąlygas“ ( 14 ).

60. Taigi manau, kad DAI ir kai kurios vyriausybės klaidingai aiškina BDAR 55 straipsnį ir 56 straipsnio 1 dalį. Šios įstojusios į bylą šalys aiškina 56 straipsnio 1 dalies pirmą sakinio dalį atsiedamos ją nuo konteksto ir sukeisdamos taisyklės ir išimties tarpusavio santykį. Dėl to būtų sušvelnintas imperatyvus kai kurių BDAR nuostatų pobūdis ir nebūtų pasiektas tikslas, pabrėžiamas, be kita ko, šio reglamento 10 konstatuojamojoje dalyje, užtikrinti nuoseklesnį ir vienodesnį duomenų apsaugos taisyklių taikymą. Iš esmės tai reikštų grįžimą prie buvusios Direktyvos 95/46 sistemos.

61. Antra, DAI ir kai kurios vyriausybės tvirtina, jog iš pačios BDAR 58 straipsnio 5 dalies formuluotės darytina išvada, kad visos priežiūros institucijos turi turėti galimybę pradėti teismo procesą dėl bet kurio galimo duomenų apsaugos taisyklių pažeidimo, turinčio poveikį jų teritorijoje, neatsižvelgiant į duomenų tvarkymo pobūdį (vietinis ar tarpvalstybinis). Todėl, jų teigimu, net jeigu vieno langelio mechanizmas būtų aiškinamas kaip apribojantis kitų priežiūros institucijų įgaliojimus dėl tarpvalstybinio duomenų tvarkymo, šie apribojimai gali būti susiję tik su administraciniais veiksmais, bet ne su procesu teisme.

62. Manau, kad ir antrasis argumentas nepagrįstas. Jis pateikiamas darant tą pačią klaidą kaip ir pirmojo argumento atveju: BDAR nuostata aiškinama „beatodairiškai atskiriant“ ją nuo likusios reglamento dalies, ir kartu jai suteikiama išgalvota prasmė.

63. BDAR 58 straipsnio 5 dalyje nurodyta: „kiekviena valstybė narė teisės aktais nustato, kad jos priežiūros institucija turi įgaliojimus atkreipti teisminių institucijų dėmesį į šio reglamento pažeidimus ir tam tikrais atvejais pradėti teismo procesą arba kitaip dalyvauti teismo procese siekiant užtikrinti šio reglamento nuostatų vykdymą“.

64. Šioje nuostatoje valstybių narių reikalaujama, pirma, leisti priežiūros institucijoms palaikyti santykius su teisminėmis institucijomis (įskaitant galimai baudžiamąsias institucijas) ir, antra, suteikti priežiūros institucijoms (ne vien pasyvią, bet ir aktyvią) teisę pareikšti ieškinį nacionaliniuose teismuose. Kitaip tariant, iš esmės priežiūros institucijos turėtų galėti palaikyti ryšius su teisminėmis institucijomis ir prireikus pradėti teismo procesą. Kaip suprantu, Sąjungos teisės aktų leidėjas laikė tokią aiškią nuostatą būtina, nes, nepaisant Direktyvos 95/46 28 straipsnio 3 dalies teksto ( 15 ), valstybių narių įstatymai šiuo klausimu reikšmingai skyrėsi, todėl kildavo nepakankamo vykdymo užtikrinimo problemų ( 16 ). Ši byla, pradėta dar tada, kai galiojo minėta direktyva, yra būtent toks pavyzdys: byloje pagal nacionalinę teisę buvo iškelti Privatumo komisijos teisės pareikšti ieškinį ir jos pirmininko pareikšto ieškinio teisinio pagrindo tinkamumo klausimai.

65. Vis dėlto, panašiai, kaip jau buvo nurodyta šioje išvadoje ( 17 ), BDAR 58 straipsnio 5 dalyje išvardijami įgaliojimai, kurie turi būti suteikti be išimties visoms priežiūros institucijoms, tuo etapu neatsižvelgiant į tai, ar nustatoma, ar konkrečiu atveju ši institucija būtų kompetentinga VPI, ar SPI, ar galbūt išvis nebūtų susijusi (arba prieš tai nustatant). BDAR 58 straipsnio 5 dalyje nereglamentuojamos situacijos ir būdai, kaip šie įgaliojimai pradėti teismo procesą turėtų būti įgyvendinami. Galbūt todėl šioje nuostatoje yra žodžiai „tam tikrais atvejais“. Tai yra kitų BDAR nuostatų dalykas.

66. Be to, nei iš BDAR 58 straipsnio teksto, nei iš jo struktūros negalima spręsti, kad, kaip teigia DAI, galima atskirti valdžios institucijų administracinius įgaliojimus (jiems būtų taikomi suvaržymai, kuriuos lemia vieno langelio mechanizmas) ir įgaliojimus pradėti teismo procesą (jiems nebūtų taikomi tokie suvaržymai). Minėtoje nuostatoje papunkčiui išvardijami įvairūs įgaliojimai, kuriuos reikia suteikti priežiūros institucijoms, jie sugrupuoti pagal tikslą (tyrimo, taisomųjų priemonių, patariamieji ir kt.). Šie punktai suformuluoti gana panašiai, iš esmės nurodant, kad kiekviena priežiūros institucija turi juose nurodytus įgaliojimus.

67. Taigi nematau pagrindo BDAR 58 straipsnio 5 dalies aiškinti skirtingai nuo jo 1–3 dalių. Iš dviejų dalykų teisingas gali būti tik vienas: arba kiekvienai priežiūros institucijai suteikiami visi šie įgaliojimai, kurie neribojami vieno langelio mechanizmo, arba visais šiais įgaliojimais turi būti naudojamasi laikantis reglamente nustatytų procedūrų ir apribojimų.

68. Dėl šios išvados 51 ir 52 punktuose nurodytų priežasčių pirmosios hipotezės neįmanoma laikyti pagrįsta. Iš tiesų, aiškinant BDAR 58 straipsnį pagal jo kontekstą, tampa aišku, kad kaip tik yra priešingai, nei teigia DAI ir kai kurios vyriausybės.

69. Kiekviena priežiūros institucija turi prisidėti prie tinkamo ir nuoseklaus reglamento įgyvendinimo. Šiuo tikslu kiekviena priežiūros institucija, neatsižvelgiant į tai, ar ji konkrečiu atveju atliktų VPI, ar SPI funkciją, privalėtų, pavyzdžiui, nagrinėti jai paduotus skundus ir daryti tai deramai stropiai ( 18 ). Iš tiesų, net jei nurodomi pažeidimai susiję su tarpvalstybiniu duomenų tvarkymu ir institucija nėra VPI, kitos priežiūros institucijos turėtų galėti išnagrinėti klausimą, kad reikšmingai prisidėtų, kai jų to prašoma pagal bendradarbiavimo ir nuoseklumo mechanizmus ( 19 ), arba imtis skubių priemonių. Vis dėlto tada VPI turi bendrai priimti privalomus sprendimus, kad užtikrintų, jog duomenų tvarkytojas ar duomenų valdytojas vykdo BDAR ( 20 ). Visų pirma, kaip matyti iš neseniai priimto Sprendimo Facebook Ireland ir Schrems, „kompetentinga nacionalinė priežiūros institucija <…> prireikus [turi] kreiptis į nacionalinius teismus“ ( 21 ). Taigi teiginys, kad priežiūros institucijos galėtų nepaisyti nuoseklumo ir bendradarbiavimo mechanizmų, kai nori kreiptis į teismą, negali būti suderinamas su BDAR tekstu ir Teisingumo Teismo jurisprudencija.

70. Be to, vertinant labiau praktiniu požiūriu, būtų nelogiška drausti institucijai pradėti administracinę procedūrą, kad preziumuojamas duomenų apsaugos taisyklių pažeidimas būtų aptartas su atitinkamais subjektais, bet leisti šiai institucijai nedelsiant pradėti teismo procesą tuo pačiu klausimu. Neretai bylinėjimasis yra kraštutinė priemonė ir tikėtina, kad institucija imtųsi šios priemonės, kai problemos neįmanoma išspręsti (formaliomis arba neformaliomis) diskusijomis ir priimant sprendimus administraciniu lygmeniu.

71. Dėl DAI nurodomo skirtumo, kad priežiūros institucijai nebūtų leidžiama (administraciniu lygmeniu) tirti, rengti, tvarkyti ir spręsti, tačiau jai būtų leidžiama iš karto kreiptis į teismą, būtų pavojingai priartėjama prie administracinių institucijų pavertimo gana abejotinais vesternų personažais, kurie pirma šauna ir (galbūt) tada kalba (jei apskritai prabyla) („jeigu reikia šauti, šauk; nekalbėk“ ( 22 )). Manau, kad toks administracinių institucijų elgesys sprendžiant nurodomus duomenų apsaugos taisyklių pažeidimus nebūtų nei pagrįstas, nei tinkamas.

72. Be to, ir tai yra dar svarbiau, jeigu priežiūros institucijoms būtų nevaržomai leidžiama kreiptis į jų nacionalinius teismus, kai jos negali pasinaudoti turimais administraciniais įgaliojimais netaikant reglamente nustatytų bendradarbiavimo ir nuoseklumo mechanizmų, būtų sudarytos sąlygos nesunkiai apeiti šiuos mechanizmus. Konkrečiai kalbant, jeigu būtų nesutariama dėl sprendimo projekto, ir VPI, ir (kiekviena) SPI galėtų „perimti situaciją į savo rankas“ ir pradėti procesą nacionaliniuose teismuose, taip apeidamos BDAR 60 straipsnio 4 dalyje ir 65 straipsnyje numatytą procedūrą.

73. Dėl šios priežasties taip pat netektų reikšmės viena iš svarbiausių Valdybos, kaip pagal BDAR įsteigtos institucijos, kurią sudaro kiekvienos valstybės narės vienos priežiūros institucijos vadovai ir Europos duomenų apsaugos priežiūros pareigūnas, funkcijų ( 23 ). Viena iš Valdybos užduočių būtent ir yra stebėti ir užtikrinti tinkamą BDAR taikymą, jeigu tarp skirtingų priežiūros institucijų kyla nesutarimų ( 24 ). Tokiais atvejais Valdyba veikia kaip ginčų sprendimo forumas ir sprendimų priėmimo institucija. Jeigu būtų vadovaujamasi DAI ir kai kurių vyriausybių siūlomu aiškinimu, BDAR 65 straipsnyje nustatytas mechanizmas galėtų būti visiškai nustumtas į šalį: kiekviena institucija galėtų eiti savo keliu, apeidama Valdybą.

74. Dėl to susiklosčiusi situacija atrodytų priešinga tai, kurią norėjo pasiekti Sąjungos teisės aktų leidėjas, nustatydamas naują sistemą, kaip bus paaiškinta toliau kitoje šios išvados dalyje.

2. Teleologinis ir istorinis BDAR aiškinimas

75. Kaip matyti iš BDAR 9 konstatuojamosios dalies, Sąjungos teisės aktų leidėjas nusprendė, kad nors „Direktyvos 95/46/EB tikslai ir principai tebėra pagrįsti“, šis teisės aktas „neužkirto kelio suskaidytam duomenų apsaugos įgyvendinimui Sąjungoje, teisiniam netikrumui ar plačiai paplitusiai viešajai nuomonei, kad fizinių asmenų apsaugai kyla didelių pavojų“.

76. Taigi poreikis užtikrinti nuoseklumą tapo teisės akto, kuriuo buvo ketinama pakeisti Direktyvą 95/46, „pagrindiniu tikslu“. Šis tikslas buvo laikomas svarbiu dėl dviejų priežasčių: pirma, siekiant užtikrinti vienodą ir aukštą fizinių asmenų apsaugos lygį ir, antra, siekiant pašalinti asmens duomenų judėjimo kliūtis Sąjungoje, suteikiant teisinį saugumą ir skaidrumą ekonominės veiklos vykdytojams ( 25 ).

77. Pastarąjį aspektą reikėtų pabrėžti. Pagal Direktyvą 95/46 Europos Sąjungoje veikiantys ekonominės veiklos vykdytojai privalėjo laikytis įvairių nacionalinių taisyklių, kuriomis buvo įgyvendinta direktyva, ir kartu palaikyti ryšius su visomis nacionalinėmis duomenų apsaugos institucijomis. Tokia situacija ne tik brangiai kainavo, užkrovė didelę naštą ekonominės veiklos vykdytojams ir atėmė iš jų daug laiko, bet ir neišvengiamai kėlė nesaugumą šiems ekonominės veiklos vykdytojams ir jų klientams ir lėmė jų nesutarimus ( 26 ).

78. Direktyvoje 95/46 nustatytos sistemos ribotumas taip pat paaiškėjo Teisingumo Teismui priėmus kelis sprendimus. Sprendime Weltimmo Teisingumo Teismas konstatavo, kad duomenų apsaugos institucijų įgaliojimus griežtai riboja teritoriškumo principas: šios institucijos gali imtis veiksmų tik dėl jų pačių teritorijoje padarytų pažeidimų, o visais kitais atvejais jos privalo prašyti įsikišti kitų valstybių narų institucijas ( 27 ). Sprendime Wirtschaftsakademie Schleswig-Holstein Teisingumo Teismas konstatavo, kad, esant tarpvalstybiniam duomenų tvarkymui, kiekviena duomenų apsaugos institucija galėtų įgyvendinti savo įgaliojimus jos teritorijoje įsteigtam subjektui, neatsižvelgiant į valstybės narės, kurioje yra už šį duomenų tvarkymą atsakingo subjekto buveinė, duomenų apsaugos institucijos poziciją ir veiksmus ( 28 ).

79. Vis dėlto virtualiame duomenų tvarkymo pasaulyje įvairių institucijų kompetencijos padalijimas pagal teritorijos ribas dažnai kelia problemų ( 29 ). Be to, aiškių nacionalinių institucijų tarpusavio koordinavimo mechanizmų stoka lėmė nenuoseklumą ir nesaugumą.

80. Šioms problemoms spręsti ir buvo sukurtas vieno langelio mechanizmas, suteikiant reikšmingą vaidmenį VPI ir bendradarbiavimo mechanizmams, kuriuose dalyvautų kitos priežiūros institucijos ( 30 ). Sprendime Google (Teisės reikalauti pašalinti nuorodą teritorinė taikymo sritis) Teisingumo Teismas pažymėjo bendradarbiavimo ir nuoseklumo mechanizmų svarbą teisingam ir nuosekliam BDAR taikymui ir privalomąjį jų pobūdį ( 31 ). Naujesnėje byloje Facebook Ireland ir Schrems generalinis advokatas H. Saugmandsgaard Øe taip pat pabrėžė, kad BDAR VII skyriuje numatytais bendradarbiavimo ir nuoseklumo mechanizmais siekiama išvengti rizikos, kad skirtingos priežiūros institucijos laikysis nevienodo požiūrio į tarpvalstybinį duomenų tvarkymą ( 32 ).

81. Žinoma, kaip pažymi DAI, teisėkūros procese ir Taryba, ir Parlamentas siekė apriboti VPI kompetenciją, kurią iš pradžių buvo numačiusi Komisija. Vis dėlto galiausiai galutiniame BDAR tekste padaryti pakeitimai neleidžia suabejoti pirma pateiktu reglamento aiškinimu ir kaip tik jį patvirtina.

82. Pagal pradinį Komisijos pasiūlymą vieno langelio mechanizmas reiškė, kad, esant tarpvalstybiniam duomenų tvarkymui, už duomenų valdytojo arba tvarkytojo veiklos stebėseną visoje Europos Sąjungoje ir susijusių sprendimų priėmimą būtų atsakinga viena priežiūros institucija (VPI) ( 33 ). Tačiau dėl tokio pasiūlymo Taryboje ir Parlamente kilo diskusijų.

83. Galiausiai Taryba susitarė dėl teksto, remdamasi Tarybai pirmininkaujančios valstybės narės pateiktu pasiūlymu ( 34 ). Šiuo pasiūlymu tikrai nebuvo kvestionuojamas pats vieno langelio mechanizmas, nes Taryba nurodė, kad šis mechanizmas yra naujojo teisės akto „vienas iš pagrindinių <…> ramsčių“ ( 35 ). Po pirmininkaujančiosios valstybės narės pasiūlymo buvo iš esmės padarytos dvi grupės gana konkrečių pakeitimų.

84. Pirma, Taryba pageidavo nustatyti tam tikras bendros VPI kompetencijos išimtis, susijusias su viešosios valdžios institucijų atliekamu duomenų tvarkymu ir su vietos situacijomis. Taigi Taryba siūlė įtraukti dvi nuostatas, kurių nebuvo Komisijos pasiūlyme ( 36 ) ir kurios dabar yra BDAR 55 straipsnio 2 dalis ir 56 straipsnio 2 dalis ( 37 ).

85. Antra, Taryba ketino sušvelninti VPI vaidmenį ir kompetenciją, padarydama procedūrą įtraukesnę. Komisijos pasiūlymo tekstas buvo laikomas šiek tiek dviprasmišku šiuo klausimu, kaip galimai suteikiantis išimtinę kompetenciją VPI dėl tarpvalstybinio duomenų tvarkymo. Taigi tekste buvo padaryti keli pataisymai siekiant padidinti domenų subjektų ir priežiūros institucijų „artumą“ ( 38 ). Taip pat buvo reikšmingai padidintas kitų priežiūros institucijų dalyvavimas sprendimų priėmimo procese.

86. Europos Parlamentas taip pat palaikė vieno langelio mechanizmo sukūrimą, suteikiant didesnį vaidmenį VPI, bet siūlė stiprinti priežiūros institucijų bendradarbiavimo sistemą. Tiek Europos Parlamento pranešimo projekto aiškinamojoje dalyje ( 39 ), tiek 2014 m. kovo 12 d. Europos Parlamento teisėkūros rezoliucijoje ( 40 ) tai nurodyta gana aiškiai.

87. Iš esmės, įsikišus Tarybai ir Parlamentui, vieno langelio mechanizmas, iki tol labai priklausomas nuo VPI, buvo paverstas labiau subalansuotu dviejų ramsčių mechanizmu: išlaikytas vadovaujantis VPI vaidmuo tarpvalstybinio duomenų tvarkymo srityje, bet kartu numatytas didesnis kitų priežiūros institucijų, kurios aktyviai dalyvauja procese per bendradarbiavimo ir nuoseklumo mechanizmus, vaidmuo, o Valdybai nesutarimų atveju paliktas arbitro ir vadovo vaidmuo.

88. Taigi teleologinis ir istorinis BDAR aiškinimas patvirtina vieno langelio mechanizmo svarbą ir kartu bendrą VPI kompetenciją tarpvalstybinio duomenų tvarkymo srityje. DAI ir kai kurių vyriausybių pateikiamo BDAR nuostatų aiškinimo neįmanoma suderinti su Sąjungos teisės aktų leidėjo ketinimu, apie kurį galima spręsti iš šio reglamento preambulės ir nuostatų, taip pat iš parengiamųjų darbų.

89. Taigi darau išvadą, kad atitinkamų BDAR nuostatų pažodinis, kontekstinis, teleologinis ir istorinis aiškinimas patvirtina, kad priežiūros institucijos privalo laikytis reglamente nustatytų taisyklių dėl kompetencijos ir bendradarbiavimo bei nuoseklumo mechanizmų ir procedūrų. Esant tarpvalstybiniam duomenų tvarkymui, šios institucijos privalo veikti pagal BDAR nustatytą sistemą.

90. Vis dėlto DAI ir kai kurios vyriausybės pateikia dvi grupes papildomų argumentų, kurie, kaip jie mano, patvirtina visų priežiūros institucijų įgaliojimų veikti vienašališkai sustiprinimą, net jei tai būtų tarpvalstybinis duomenų tvarkymas. Kitose šios išvados dalyse paaiškinsiu, kodėl tokie argumentai neturėtų leisti suabejoti mano ką tik pasiūlytu BDAR aiškinimu, bent tikrai ne šiuo momentu.

3. BDAR aiškinimas atsižvelgiant į Chartiją

91. DAI laikosi pozicijos, kad neriboti priežiūros institucijų įgaliojimai iškelti bylą duomenų tvarkytojams ir duomenų valdytojams, įskaitant atvejus, kai duomenų tvarkymas yra tarpvalstybinis pagal jo pobūdį, yra būtini siekiant užtikrinti, kad būtų laikomasi Chartijos 7, 8 ir 47 straipsnių. Atrodo, kad DAI susirūpinimą šiuo klausimu kelia du pagrindiniai aspektai, nors ji išsamiai nesuformulavo nė vieno iš jų savo pastabose ( 41 ).

92. Pirmasis aspektas, kuris kelia susirūpinimą DAI, regis, susijęs su institucijų, kurios gali imtis veiksmų dėl konkretaus elgesio, skaičiaus sumažėjimu. Atrodo, kad toks teiginys paremtas nebylia prielaida, t. y. kad siekiant užtikrinti aukšto lygio apsaugą reikia daug institucijų, kurios galėtų užtikrinti BDAR laikymąsi, net jeigu jos veiktų lygiagrečiai. Trumpiau tariant, kuo daugiau persekiojančių institucijų, tuo didesnis apsaugos lygis.

93. Nemanau, kad tai būtinai yra tiesa, bent kalbant apie apsaugos lygį.

94. Aišku, kaip yra nusprendęs Teisingumo Teismas, Sąjungos duomenų apsaugos teisės aktais, aiškinamais atsižvelgiant į Chartijos 7 ir 8 straipsnius, siekiama užtikrinti, be kita ko, pagrindinės teisės į privataus ir šeimos gyvenimo gerbimą tvarkant asmens duomenis aukšto lygio apsaugą ( 42 ).

95. Vis dėlto Sąjungos teisės aktų leidėjas nusprendė, kad, siekiant užtikrinti „aukšto lygio fizinių asmenų apsaugą“, reikia „tvirtos ir geriau suderintos duomenų apsaugos sistemos“ ( 43 ). Šiuo tikslu BDAR nustatyta sistema siekiama užtikrinti nuoseklumą visais lygmenimis: fiziniams asmenims, ekonominės veiklos vykdytojams, duomenų valdytojams ir duomenų tvarkytojams ir priežiūros institucijoms ( 44 ). Kalbant apie pastarąsias, BDAR, kaip patvirtina jo 116 konstatuojamoji dalis, siekiama skatinti jų „glaudesnį <…> bendradarbiavimą“ ( 45 ).

96. Taigi, priešingai, nei teigia DPI, Sąjungos teisės aktų leidėjo požiūriu duomenų subjektų teisių ir laisvių aukšto lygio apsaugos siekis visiškai suderinamas su pirma apibūdintu vieno langelio mechanizmo veikimu. Leidžiant laikytis nuoseklesnio, veiksmingesnio ir skaidresnio požiūrio šiuo klausimu, BDAR nustatytais bendradarbiavimo ir nuoseklumo mechanizmais taip pat turėtų būti prisidedama prie, be kita ko, Chartijos 7 ir 8 straipsniuose įtvirtintų teisių didesnio puoselėjimo ir apsaugos.

97. Kitaip tariant, nuoseklus ir vienodas apsaugos lygis tikrai nedraudžia užtikrinti, kad ši apsauga būtų aukšto lygio. Tada tiesiog reikia atsakyti į klausimą, kur turėtų būti nustatytas tas vienodumo atspirties taškas. Galiausiai abejoju, ar keli nesusiję ir galbūt vienas kitam prieštaraujantys priežiūros institucijų veiksmai tikrai pasitarnautų tikslui užtikrinti aukštą privačių asmenų teisių apsaugos lygį. Nuoseklumu ir aiškumu, kurį užtikrintų suderintai veikiančios priežiūros institucijos, šis tikslas galėtų būti pasiektas geriau.

98. Antrasis susirūpinimą DAI keliantis aspektas susijęs su skundą paduodančių asmenų ir institucijų, kurios galiausiai imsis veiksmų, reaguodamos į tokį skundą, artumo problemomis. Iš esmės kyla klausimas, ar privatūs asmenys tikrai gali iškelti bylą dėl priežiūros institucijų veiksmų ar neveikimo, susijusio su jų skundais.

99. Iš tiesų BDAR 78 straipsnyje patvirtinama fizinių ar juridinių asmenų teisė imtis veiksmingų teisminių teisių gynimo priemonių prieš priežiūros instituciją. Be to, tam, kad BDAR numatytos priemonės būtų suderinamos su Chartijos 47 straipsniu, pagal jas iš duomenų subjektų negali būti reikalaujama laikytis išsamių taisyklių, kurios, atsižvelgiant į jų kaip fizinių asmenų statusą, gali neproporcingai paveikti jų teisę kreiptis į teismą (pavyzdžiui, padidinant išlaidas arba uždelsiant veiksmus) ( 46 ).

100. Vis dėlto nė vienas iš (gana neapibrėžtų) kiekvienos šalies argumentų šiuo klausimu aiškiai nepaaiškina, kodėl Facebook, Čekijos, Suomijos vyriausybių ir Komisijos pateikiamas aiškinimas neatitiktų Chartijos 47 straipsnio.

101. Pirmiausia, BDAR aiškiai numatyta duomenų subjektų teisė pradėti teismo procesą tiek prieš duomenų valdytojus ir duomenų tvarkytojus, tiek prieš priežiūros institucijas. Taigi, vertinant struktūriškai, neaišku, kodėl BDAR neatitiktų Chartijos 47 straipsnio.

102. Dėl duomenų subjektų teisės iškelti bylą duomenų valdytojams ir duomenų tvarkytojams, pažymėtina, kad jiems suteikiamas pasirinkimas, ar kelti bylą valstybės narės, kurioje yra duomenų valdytojo arba tvarkytojo buveinė, ar valstybės narės, kurioje yra duomenų subjekto nuolatinė gyvenamoji vieta, teismuose ( 47 ). Ši taisyklė atrodo gana palanki duomenų subjektams arba bent nekelianti jiems problemų ( 48 ).

103. Kalbant apie duomenų subjektų teisę iškelti bylą priežiūros institucijoms, situacija yra sudėtingesnė. Pirma, duomenų subjektams suteikiama teisė ginčyti priežiūros institucijų veiksmus ir neveikimą. Visų pirma jie gali imtis veiksmų prieš bet kurią priežiūros instituciją, kuri „nesiima veiksmų dėl skundo, iš dalies arba visiškai atmeta skundą arba jo nepriima, arba nesiima veiksmų, kai tokie veiksmai yra būtini duomenų subjekto teisėms apsaugoti“ ( 49 ).

104. Vis dėlto, skirtingai nei ieškiniai duomenų valdytojams ir duomenų tvarkytojams, ieškiniai priežiūros institucijoms turi būti reiškiami priežiūros institucijos įsteigimo valstybės narės teismuose ( 50 ). Nors ši taisyklė gali atrodyti mažiau palanki privatiems asmenims, nereikia pamiršti, kad pagal BDAR 60 straipsnio 8 ir 9 dalis, jeigu duomenų subjekto paduotas skundas visiškai arba iš dalies atmetamas, atitinkamą sprendimą priima ir duomenų subjektui apie jį praneša ta priežiūros institucija, kuriai duomenų subjektas padavė skundą. Taip yra neatsižvelgiant į tai, ar ši institucija yra VPI, taigi duomenų subjektui leidžiama (atitinkamais atvejais) iškelti bylą savo valstybėje narėje.

105. Šie kompetencijos priimti sprendimus perkėlimo ir prireikus suskaidytų sprendimų (VPI dėl duomenų valdytojo ar tvarkytojo ir vietos valdžios institucija dėl skundo pateikėjo) priėmimo mechanizmai atrodo skirti būtent tam, kad duomenų subjektams nereikėtų „klaidžioti“ po Europos Sąjungos teismus, siekiant iškelti bylą neveikiančioms priežiūros institucijoms.

106. Vis dėlto pripažįstu, kad tokia išeitis gali kelti nemažai praktinių klausimų. Koks būtų tikslus kiekvieno tokio sprendimo turinys? Ar šis turinys būtų vienodas ( 51 ), ar skirtųsi? Ar duomenų subjektui būtų leidžiama ginčyti visus aspektus, kurie, jo nuomone, susiję su jo atveju, net ir tuos, kurie iš tiesų priskiriami VPI sprendimui? O gal priežiūros institucijos, kuriai duomenų subjektas padavė skundą, sprendimas iš esmės būtų tik „tuščias kiautas“, kuriame individualus skundas tiesiog būtų išnagrinėtas formaliai, o visas tikrasis turinys būtų VPI sprendime? Ar tokiu atveju duomenų subjektas, norėdamas pasinaudoti tikrai „veiksminga teismine teisių gynimo priemone“, kaip tai suprantama pagal BDAR 78 straipsnį ir Chartijos 47 straipsnį, bet kuriuo atveju turėtų kreiptis į VPI įsteigimo valstybės narės teismus? Kaip taisyklės dėl galimybės pasinaudoti veiksminga teismine teisių gynimo priemone veiktų, kiek tai susiję su visų pamatinių sprendimų peržiūra, nesvarbu, ar horizontaliuoju lygmeniu (tarp bendrai veikiančių priežiūros institucijų), ar vertikaliuoju lygmeniu (kiek tai susiję su Valdybos nuomonės ar sprendimo peržiūra pagal nuoseklumo mechanizmą, prieš priežiūros institucijai priimant galutinį sprendimą, kurį jis tikriausiai nulemtų?) ( 52 )

107. Potencialių keblių klausimų netrūksta. Ilgainiui praktinė patirtis gali atskleisti tikrąsias naujosios sistemos kokybės ar netgi teisinės apsaugos lygio problemas. Vis dėlto šiuo metu visos šios problemos yra tik spėlionės. Šiuo etapu ir neabejotinai šioje byloje Teisingumo Teismui nebuvo pateikta jokios informacijos, kuri rodytų kokias nors realias problemas šiuo klausimu.

4. Galimai nepakankamas BDAR vykdymo užtikrinimas

108. DAI iš esmės teigia, kad BDAR vykdymo užtikrinimo tarpvalstybinėse situacijose negalima palikti beveik vien VPI ir duomenų subjektams, kuriems duomenų tvarkymas gali turėti poveikį. Kiekvienos priežiūros institucijos funkcija yra imtis veiksmų, kad būtų apsaugotos asmenų, kuriems duomenų tvarkymas gali turėti poveikį, teisės. Visų pirma priežiūros institucija negali tinkamai atlikti savo užduoties kiekvieną kartą, kai sprendimas dėl to, ar imtis veiksmų dėl įtariamo pažeidimo, ir kaip tai padaryti, paliekamas kitos institucijos diskrecijai.

109. Mano nuomone, tokiu argumentu iš esmės tiesiogiai kvestionuojamas BDAR nustatytas naujasis bendradarbiavimo mechanizmas. Mano atsakymas į jį yra dviejų lygių: viena vertus, kalbant apie esamos teisės lygmenį, galima teigti, kad BDAR yra numatyti mechanizmai, kuriais siekiama išvengti tokių situacijų. Kita vertus, kalbant apie naujų sistemų tikrąjį veikimą ir sukeliamas pasekmes, tokie nuogąstavimai šiuo etapu yra pernelyg ankstyvi ir hipotetiniai.

110. Pirma, iš pradžių reikėtų paaiškinti, jog tai, kad priežiūros institucija nėra VPI dėl konkretaus duomenų valdytojo ar duomenų tvarkytojo, tikrai nereiškia, kaip teigia DAI, kad neįmanoma tinkamai patraukti atsakomybėn už BDAR pažeidimus, dėl kurių atsiranda baudžiamoji atsakomybė. Akivaizdu, kad 58 straipsnio 5 dalyje nurodyti įgaliojimai „atkreipti teisminių institucijų dėmesį į šio reglamento pažeidimus“ apima įgaliojimus palaikyti ryšius su baudžiamosiomis institucijomis, pavyzdžiui, prokuratūra. Šie įgaliojimai yra suderinami su priežiūros institucijų užduotimi stebėti BDAR taikymą ir užtikrinti jo vykdymą savo teritorijoje ir netrukdo veiksmingai veikti BDAR VII skyriuje nustatytiems bendradarbiavimo ir nuoseklumo mechanizmams. Šiuo klausimu vargu ar reikia pabrėžti, kad, nors šie mechanizmai yra privalomi priežiūros institucijoms, jie netaikomi kitoms valstybių narių institucijoms, visų pirma toms, kurioms pavesta patraukti baudžiamojon atsakomybėn už nusikalstamas veikas.

111. Antra, ir tai yra dar svarbiau vertinant visą BDAR nustatytą sistemą, gana aišku, kad VPI nėra vienintelė užtikrinanti BDAR vykdymą tarpvalstybinėse situacijose. VPI labiau veikia kaip primus inter pares. Apskritai VPI galės imtis veiksmų (administracinių arba teisminių) tik gavusi SPI sutikimą. Pagal BDAR 60 straipsnyje numatytą procedūrą VPI privalo ieškoti bendro sutarimo ( 53 ). Ji negali nepaisyti SPI nuomonės. VPI privalo ne tik „deramai atsižvelgti“ į jų nuomonę, dėl bet kokio formalaus SPI prieštaravimo VPI sprendimo projekto priėmimas laikinai užblokuojamas. Galiausiai bet kokį institucijų nuomonių išsiskyrimą išsprendžia konkretus organas (Valdyba), kurį sudaro visų Sąjungos priežiūros institucijų atstovai. Taigi šiuo klausimu VPI padėtis nėra tvirtesnė nei bet kurios kitos institucijos ( 54 ).

112. Kaip nurodė buvęs Europos duomenų apsaugos priežiūros pareigūnas P. Hustinx, pagal BDAR sistemą VPI vaidmuo „turėtų būti vertinamas ne kaip išimtinė kompetencija, o kaip konstruktyvus būdas bendradarbiauti su kitomis vietos lygmeniu kompetentingomis priežiūros institucijomis“ ( 55 ). BDAR numatyta bendra atsakomybė už BDAR taikymo stebėseną ir jo nuoseklaus taikymo užtikrinimą. Šiuo tikslu priežiūros institucijoms yra pavestos užduotys ir suteikti tam tikri įgaliojimai; joms suteikiamos tam tikros teisės, bet ir tenka tam tikros pareigos. Tarp šių pareigų visų pirma yra pareiga laikytis tam tikrų procedūrų ir mechanizmų, kuriais siekiama užtikrinti nuoseklumą. Institucijos siekis laikytis požiūrio, kad ji „viską gali padaryti viena“ ( 56 ) dėl BDAR (teisminio) vykdymo užtikrinimo, nebendradarbiaudama su kitomis institucijomis, negali būti suderinamas nei su šio reglamento tekstu, nei su jo esme.

113. Kaip minėta šios išvados 76 ir 77 punktuose, BDAR grindžiamas trapia pusiausvyra tarp poreikio užtikrinti aukšto lygio fizinių asmenų apsaugą ir poreikio pašalinti asmens duomenų judėjimo kliūtis Sąjungoje. Šie du tikslai, kaip visų pirma matyti iš BDAR 10 konstatuojamosios dalies ir 1 straipsnio 1 dalies, yra neatsiejami vienas nuo kito. Taigi nacionalinės priežiūros institucijos turi užtikrinti teisingą jų pusiausvyrą, kaip Teisingumo Teismas nuosekliai pabrėžia nuo pat pirmųjų savo sprendimų duomenų apsaugos srityje ( 57 ). BDAR 51 straipsnio 1 dalis, kurioje apibrėžiama priežiūros institucijų misija, atspindi šį požiūrį ( 58 ).

114. Trečia, BDAR numatyti ne tik mechanizmai išspręsti skirtumus, susijusius su tuo, kaip turėtų vykti vykdymo užtikrinimas, t. y. padedant suderinti priežiūros institucijų išreikštas prieštaraujančias nuomones ir pozicijas. Jame taip pat numatyti mechanizmai, skirti įveikti administracinio neveikimo situacijoms. Tai visų pirma yra tokios situacijos, kai VPI dėl patirties ir (arba) darbuotojų stokos ar dėl bet kurios kitos priežasties tiesiog nesiima jokių reikšmingų veiksmų, kad ištirtų galimus BDAR pažeidimus ir prireikus užtikrintų jo taisyklių vykdymą.

115. Iš esmės BDAR su tarpvalstybiniu duomenų tvarkymu susijusiose situacijose reikalaujama, kad VPI veiktų skubiai. Pagal BDAR 60 straipsnio 3 dalį VPI „nedelsdama perduoda atitinkamą informaciją šiuo klausimu kitoms susijusioms priežiūros institucijoms [ir] nedelsdama pateikia sprendimo projektą kitoms susijusioms priežiūros institucijoms, kad jos pateiktų savo nuomonę, ir deramai atsižvelgia į jų nuomones“ ( 59 ).

116. Jeigu VPI nevykdytų šios pareigos arba apskritai nesiimtų veiksmų, kai tai būtina, kiltų klausimas, ar SPI, kurios pageidauja tęsti tyrimą ir galbūt imtis vykdymo užtikrinimo veiksmų, turi kokių nors teisių gynimo priemonių? ( 60 ) Manau, kad šios institucijos gali rinktis bent du skirtingus kelius, ir, jeigu jos rinktųsi vieną iš jų, tai nereiškia, kad paskui negalėtų rinktis kito.

117. Pirma, pagal BDAR 61 straipsnio 1 ir 2 dalis priežiūros institucija gali prašyti kitos priežiūros institucijos teikti „informaciją ir savitarpio pagalbą, kad [BDAR] būtų įgyvendintas ir taikomas nuosekliai“ ( 61 ). Tai gali būti prašymas pateikti informaciją, taip pat ir informaciją „apie tyrimo eigą“, arba prašymas dėl kitų pagalbos priemonių (pavyzdžiui, vykdyti patikrinimus ir tyrimus arba nustatyti veiksmingo bendradarbiavimo priemones). Į kiekvieną tokį prašymą jį gavusi institucija turi atsakyti „nepagrįstai nedelsdama ir ne vėliau kaip per vieną mėnesį nuo jo gavimo“.

118. Pagal BDAR 61 straipsnio 5 ir 8 dalis, jeigu per nustatytą terminą neatsakoma arba jeigu prašymą atsisakoma vykdyti, prašymą pateikusi institucija įgyja teisę „pagal 55 straipsnio 1 dalį patvirtinti laikinąją priemonę savo valstybės narės teritorijoje“. Tokiais atvejais „laikoma, kad patenkinamos 66 straipsnio 1 dalyje numatytos būtinybės imtis skubių veiksmų sąlygos ir reikalingas skubus privalomas Valdybos sprendimas pagal 66 straipsnio 2 dalį“ ( 62 )

119. Man atrodo, kad tokiu mechanizmu SPI taip pat gali pasinaudoti (ir tikriausia jis yra tam skirtas ( 63 )) prieš VPI. Jeigu konkrečiu tarpvalstybinio duomenų tvarkymo atveju VPI nesiima veiksmų, nepaisant to, kad SPI to prašo, pastaroji gali imtis skubių priemonių, laikomų būtinomis duomenų subjektų interesams apsaugoti. Iš tiesų išimtinių aplinkybių, suteikiančių pagrindą imtis skubių veiksmų, buvimas preziumuojamas ir jo nereikia įrodinėti.

120. Kita vertus, BDAR 64 straipsnio 2 dalyje bet kuriai priežiūros institucijai (arba Valdybos pirmininkui ar Komisijai) leidžiama „prašyti, kad Valdyba išnagrinėtų bet kurį bendro pobūdžio klausimą arba klausimą, kuris daro poveikį daugiau nei vienoje valstybėje narėje, ir kad ji pateiktų nuomonę, visų pirma tais atvejais, kai kompetentinga priežiūros institucija nesilaiko su savitarpio pagalba susijusių prievolių pagal 61 straipsnį <…>“ ( 64 ).

121. Nėra visiškai aišku, ar Valdybos sprendimas būtų teisiškai privalomas atitinkamai VPI ( 65 ). Vis dėlto pagal BDAR 65 straipsnio 1 dalies c punktą, jeigu kompetentinga priežiūros institucija nesivadovauja Valdybos nuomone, pateikta pagal BDAR 64 straipsnį, bet kuri SPI (arba Komisija) gali pranešti apie šį klausimą Valdybai ir taip inicijuoti šiuo tikslu numatytą ginčų sprendimo procedūrą. Pagal šią procedūrą galiausiai būtų priimtas privalomas sprendimas ( 66 ).

122. Atsižvelgiant į tai, reikia pripažinti, kad abu pirma apibūdinti mechanizmai (viena vertus, BDAR 61 ir 66 straipsniai ir, kita vertus, BDAR 64 ir 65 straipsniai) yra šiek tiek nepaslankūs. Ne visada aišku, kaip jie iš tikrųjų veikia. Taigi, jei popieriuje minėtos nuostatos, regis, gali leisti išvengti tokių problemų, tik šių nuostatų taikymas ateityje atskleis, ar praktiškai jos nėra tik „popierinis tigras“.

123. Taip tenka grįžti prie antrosios grupės argumentų, pateiktų remiantis nepakankamo vykdymo užtikrinimo pagrindu, ir gana hipotetinio bei nepagrįsto jų pobūdžio, žinoma, bent šiuo metu. Turiu pripažinti, kad, bent mano nuomone, jeigu DAI ir kai kurių įstojusių į bylą šalių nurodomi arba labiau užsimenami pavojai, susiję su nepakankamu BDAR vykdymo užtikrinimu, iš tiesų materializuotųsi, ateitų laikas visą sistemą persvarstyti iš esmės.

124. Vertinant pagal struktūrinį patogumą, taip tikrai galėtų nutikti, jeigu dėl naujosios struktūros kai kuriems ekonominės veiklos vykdytojams būtų sukurti „lizdai“, kai jie, faktiškai patys pasirinkę savo nacionalinę reguliavimo instituciją, įsteigdami pagrindinę buveinę Sąjungoje, taptų ne kontroliuojami, o faktiškai saugomi konkrečios VPI nuo kitų reguliavimo institucijų. Sunku nepritarti, kad reguliavimo konkurencija, valstybėms narėms lenktyniaujant tarpusavyje, būtų tokia pat nesveika ir pavojinga kaip ir reguliavimo nesuderinamumas, kai trūksta koordinavimo ir nuoseklumo, kuris buvo būdingas ankstesnei struktūrai. Tinklinės reguliavimo sistemos gali užkirsti kelią nesuderinamumui ir skirtumams, paskatinant bendrą sutarimą ir bendradarbiavimą. Vis dėlto atrodo, kad bendro sutarimo kaina yra aktyviųjų blokavimas, ypač tokioje sistemoje, kai bet kokiam sprendimui priimti reikalingas sustiprintas derinimas. Tokiose sistemose kolektyvinė atsakomybė gali paskatinti kolektyvinį neatsakingumą ir galiausiai dėl to atsiradusį neveiklumą.

125. Vis dėlto, kalbant apie tokius pavojus, BDAR sukurta teisinė sistema yra dar tik ankstyvos vystymosi stadijos. Sunku nuspėti, ypač teismui, esant vienai, gal net gana neįprastai procedūrai, kaip šiuo reglamentu sukurti mechanizmai veiks praktiškai ir kiek jie bus veiksmingi. Esant tokiai sistemai, panašiai kaip ir kalbant apie potencialius klausimus, susijusius su pagrindinių teisių apsauga ir Chartiją atitinkančiu aiškinimu ( 67 ), rekomenduojama elgtis atsargiai.

126. Mano nuomone, būtų prasta mintis Teisingumo Teismui reikšmingai keisti šią sistemą, kuri yra (trapus ir atidžiai kurtas) ilgai trukusio ir intensyvaus teisėkūros proceso rezultatas, aiškinant pavienius sakinius atsietai nuo jų konteksto, o nuo šiol – remiantis prielaidomis ir spekuliacijomis. Juo labiau taip yra tuo atveju, jeigu kai kurios šalys siūlo tokį aiškinimą, kuriuo iš reglamento iš esmės išmetamos kai kurios svarbios jo dalys ir taip faktiškai grįžtama prie senosios Direktyva 95/46 nustatytos sistemos, kurią Sąjungos teisės aktų leidėjas instituciniu aspektu aiškiai ir vienareikšmiai atmetė.

127. Šis pakankamai aiškus teisėkūros rezultatas, kaip rodo BDAR tekstas ir struktūra ir kaip matyti iš pirmesnių šios išvados dalių, taip pat dokumentuose įtvirtintas teisės aktų leidėjo ketinimas atliepia ir kitus potencialius nerimą keliančius struktūrinius klausimus, pavyzdžiui, susijusius su derama pusiausvyra tarp privataus ir viešo duomenų apsaugos taisyklių ir BDAR vykdymo užtikrinimo. Ar yra prasmės apriboti viešą vykdymo užtikrinimą iki vienos institucijos, vadinasi, ir iki vienos valstybės narės, o tai bus galima padaryti tik po ilgos ir nepaslankios procedūros, kai privatus tų pačių taisyklių vykdymas praktiškai galėtų būti užtikrintas greičiau ir visų valstybių narių (civiliniuose) teismuose? Ar nacionalinėms priežiūros institucijoms turėtų būti suteikiama siauresnė teisė kreiptis į teismus nei bet kuriam individualiam privačiam vartotojui? Ar dauguma duomenų apsaugos bylų neatsidurtų nacionaliniuose teismuose (ir galbūt Teisingumo Teisme pagal prejudicinio sprendimo procedūrą) dėl privačių šalių tiesiogiai iškeltų bylų, visiškai apeinant šiuo tikslu įsteigtas nacionalines reguliavimo institucijas, nes jos vis dar bendradarbiauja ir derina savo pozicijas? Argi esant tokiai sistemai nekyla pavojus, kad privatus vykdymo užtikrinimas visiškai pakeis viešąjį?

128. Kad ir kaip būtų, Sąjungos teisės aktų leidėjas padarė aiškų institucinį ir struktūrinį pasirinkimą ir, mano nuomone, nekyla abejonių dėl to, ką jis norėjo pasiekti. Tokiomis aplinkybėmis, kalbant metaforiškai, reikia pasitikėti kūdikiu. Vis dėlto, jeigu paaiškėtų, kad sistema yra prasta ir tai patvirtintų faktinės aplinkybės ir patikimi argumentai, tada nemanau, kad Teisingumo Teismas nereaguotų į dėl to galinčias atsirasti Chartijoje užtikrinamų pagrindinių teisių apsaugos ir kompetentingų reguliavimo institucijų atliekamo veiksmingo jų vykdymo užtikrinimo spragas. Klausimas, ar tada tai vis dar būtų Chartiją atitinkančio antrinės teisės nuostatų aiškinimo klausimas, ar atitinkamų nuostatų ar net antrinės teisės akto dalių galiojimo klausimas, yra kitos bylos dalykas.

5. Tarpinė išvada

129. Taigi visi pirma išdėstyti aiškinimo elementai rodo vieną ir tą patį rezultatą: VPI turi bendrą kompetenciją tarpvalstybinio duomenų tvarkymo srityje. Visos priežiūros institucijos (neatsižvelgiant į tai, ar jos veikia kaip VPI, ar kaip SPI) turi veikti laikydamosi BDAR nustatytų procedūrų ir mechanizmų, ypač esant tarpvalstybiniam duomenų tvarkymui.

130. Atsižvelgiant į tai, ar tai reiškia, kad priežiūros institucijai, kuri nėra VPI, iš principo niekada neleidžiama kreiptis į nacionalinius teismus dėl duomenų valdytojo ar duomenų tvarkytojo, jeigu duomenų tvarkymas yra pagal savo pobūdį tarpvalstybinis?

131. Ne, taip nėra.

132. Pirma, priežiūros institucijos tikrai gali kreiptis į nacionalinį teismą, kai jos veikia už BDAR materialinės taikymo srities ribų, jeigu tai yra leidžiama pagal nacionalinę teisę ir nedraudžiama pagal Sąjungos teisę, pavyzdžiui, todėl, kad duomenų tvarkymas neapima asmens duomenų, ar todėl, kad asmens duomenys tvarkomi vykdant BDAR 2 straipsnio 2 dalyje nurodytą veiklą ( 68 ).

133. Antra, nepaisant tarpvalstybinio duomenų tvarkymo pobūdžio, BDAR 55 straipsnio 2 dalyje nurodytose situacijose (kai duomenis tvarko viešosios valdžios institucijos, bet ir tais atvejais, kai duomenys tvarkomi siekiant viešojo intereso arba vykdant viešosios valdžios įgaliojimus) reguliavimo kompetencija vis tiek priklauso vietos priežiūros institucijai, ir prireikus ji apima galimybę iškelti bylą teisme.

134. Trečia, tam tikrais atvejais, nors ir atliekamas į BDAR taikymo sritį patenkantis tarpvalstybinis duomenų tvarkymas, jokia priežiūros institucija neveikia kaip VPI. Kadangi BDAR nustatytas bendradarbiavimo ir nuoseklumo mechanizmas taikomas tik vieną ar daugiau buveinių Europos Sąjungoje turintiems duomenų valdytojams, jeigu duomenų valdytojas, atliekantis tarpvalstybinį duomenų tvarkymą, neturi buveinės Europos Sąjungoje, jam nėra jokios VPI. Tai reiškia, kad buveinės Sąjungoje neturintys duomenų valdytojai privalo turėti reikalų su vietos priežiūros institucijomis kiekvienoje valstybėje narėje, kurioje vykdo veiklą ( 69 ).

135. Ketvirta, bet kuri priežiūros institucija gali imtis skubių priemonių, jeigu yra įvykdomos atitinkamos sąlygos. Taip pat yra situacijų, kai priemonių skubumas yra preziumuojamas. Pavyzdžiui, taip gali būti tais atvejais, kai SPI potencialiai susiduria su nuolatiniu atsakingos VPI neveikimu. Kadangi BDAR 66 straipsnio 1 dalyje numatytas visiškas nuoseklumo mechanizmo netaikymas, pagrįsta daryti prielaidą, kad, esant tokiai išimtinei situacijai, priežiūros institucija atgauna visus savo įgaliojimus (kuriais įprastomis aplinkybėmis ji nesinaudoja, nes jie blokuojami dėl specialiųjų taisyklių, susijusių su VPI kompetencija tarpvalstybinio duomenų tvarkymo srityje) ir gali laikinai juos įgyvendinti. Žinoma, tai apima ir įgaliojimus pradėti teismo procesą pagal BDAR 58 straipsnio 5 dalį.

136. Galiausiai, penkta, tik išsamumo sumetimais galima būtų pažymėti, jog gali būti ir taip, kad VPI informavusi priežiūros institucija taip pat gali įgyti (arba tiksliau išlaikyti) įgaliojimus kreiptis į teismą tuo atveju, jeigu pagal BDAR 56 straipsnio 5 dalį VPI „nusprendžia šio atvejo nenagrinėti“. Iš pirmo žvilgsnio ši nuostata taip pat galėtų apimti faktinį abiejų priežiūros institucijų susitarimą dėl to, kuri iš jų galėtų geriau išnagrinėti tokį atvejį.

137. Apibendrinant darytina išvada, kad BDAR nuostatose nėra jokio bendro draudimo kitoms priežiūros institucijoms, ypač SPI, pradėti teismo procesą prieš potencialius duomenų apsaugos taisyklių pažeidėjus. Atvirkščiai, BDAR aiškiai numatytos įvairios situacijos, kai jos yra įgaliotos tai daryti, arba iš BDAR galima netiesiogiai spręsti apie tokias situacijas ( 70 ).

138. Vis dėlto apskritai labai svarbu tai, kad jeigu taikomos BDAR numatytos procedūros ir mechanizmai (ypač nustatyti jo VI ir VII skyriuose), ir VPI, ir SPI deramai jais vadovautųsi. BDAR taisyklėse labai aiškiai nurodyta, kad nė viena iš šių institucijų negali veikti už šios teisinės sistemos ribų arba jos nesilaikydama.

139. Atsižvelgiant į tai, kas nurodyta pirma, tai, ar šioje byloje nagrinėjamu atveju DAI laikėsi minėtų procedūrų ir mechanizmų (dėl šio klausimo per teismo posėdį kilo tam tikros diskusijos, bet jis išlieka šiek tiek neaiškus, atsižvelgiant į neįprastas šios bylos procedūrines aplinkybes) ( 71 ), vis dėlto turi patikrinti prašymą priimti prejudicinį sprendimą pateikęs teismas.

140. Taigi į pirmąjį klausimą reikėtų atsakyti taip, kad pagal BDAR nuostatas valstybės narės priežiūros institucijai leidžiama iškelti bylą šios valstybės teisme dėl įtariamo BDAR pažeidimo, susijusio su tarpvalstybiniu duomenų tvarkymu, nors ji ir nėra VPI, jeigu ji tai daro BDAR nustatytais atvejais ir laikydamasi jame nustatytų procedūrų.

C. Kiti prejudiciniai klausimai

1. Antrasis klausimas

141. Antruoju klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas klausia, ar atsakymas į pirmąjį klausimą būtų kitoks, jeigu tokio tarpvalstybinio duomenų tvarkymo valdytojas neturėtų pagrindinės buveinės toje valstybėje narėje, bet turėtų kitą buveinę joje.

142. Atsižvelgiant į siūlomą atsakymą į pirmąjį klausimą, atsakymas į antrąjį klausimą yra gana aiškus: iš esmės jis yra neigiamas, jeigu „pagrindinė buveinė“, kaip ji suprantama pagal BDAR 4 straipsnio 16 punktą, tikrai yra kitoje valstybėje narėje.

143. Tai, kad duomenų valdytojas valstybėje narėje turi antrinę buveinę, iš esmės neturi poveikio vietos priežiūros institucijos galimybei pradėti teismo procesą pagal BDAR 58 straipsnio 5 dalį dėl konkrečios tarpvalstybinio duomenų tvarkymo situacijos. Kitaip tariant, tarpvalstybinio duomenų tvarkymo atveju priežiūros institucijai suteiktų įgaliojimų apimtis ir tai, kaip jie turėtų būti įgyvendinami, paprastai nepriklauso nuo to, ar duomenų valdytojas arba duomenų tvarkytojas, kurio pagrindinė buveinė yra kitoje valstybėje narėje, taip pat turi buveinę šios institucijos valstybėje narėje.

144. Vis dėlto, panašiai kaip jau buvo nurodyta ( 72 ), kalbant apie pirminį tokios išvados aspektą, nacionaliniam teismui pirmiausia reikia išsiaiškinti, kuri buveinė iš tikrųjų yra pagrindinė buveinė konkrečios duomenų tvarkymo operacijos tikslais. Šiuo klausimu BDAR 4 straipsnio 16 punkto a papunktyje pagrindinė buveinė ( 73 ) suprantama dinamiškai ir nebūtinai turi sutapti su statine korporatyvine įmonės struktūra.

145. Be to, tai, kad duomenų valdytojas arba duomenų tvarkytojas turi (antrinę) buveinę priežiūros institucijos teritorijoje, reiškia, kad ši institucija yra SPI, kaip tai suprantama pagal BDAR 4 straipsnio 22 punktą. SPI yra suteikti reikšmingi įgaliojimai dėl BDAR VII skyriuje nustatytų procedūrų ( 74 ).

146. Be to, BDAR 56 straipsnio 2 dalyje numatyta bendros VPI kompetencijos tarpvalstybinio duomenų tvarkymo srityje išimtis: „kiekviena priežiūros institucija turi kompetenciją nagrinėti jai pateiktą skundą arba galimą šio reglamento pažeidimą, jeigu dalykas yra susijęs tik su buveine jos valstybėje narėje arba daro didelį poveikį duomenų subjektams tik jos valstybėje narėje“. Šia kompetencija turi būti naudojamasi laikantis to paties straipsnio 3–5 dalyse nustatytos procedūros ( 75 ).

2. Trečiasis klausimas

147. Trečiuoju klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas siekia išsiaiškinti, ar atsakymas į pirmąjį klausimą būtų kitoks, jeigu nacionalinė priežiūros institucija pareikštų ieškinį duomenų valdytojo pagrindinei buveinei, ar buveinei savo valstybėje narėje.

148. Atsižvelgiant į atsakymą, kurį siūlau pateikti į pirmąjį klausimą, ir tiek, kiek trečiasis klausimas iš tiesų nesutampa su antruoju klausimu, į trečiąjį klausimą taip pat reikėtų atsakyti neigiamai.

149. Vėlgi, jeigu pagal bylos faktines aplinkybes pagrindinė buveinė konkrečios duomenų tvarkymo operacijos atveju pagal BDAR 4 straipsnio 16 punktą iš tikrųjų yra kitoje valstybėje narėje, valstybės narės, kurioje yra duomenų valdytojo buveinė, nacionalinė priežiūros institucija nėra VPI, bet gali tapti SPI. Vis dėlto, atliekant tokį vertinimą priežiūros institucijos kompetencija imtis veiksmų nepriklauso nuo to, ar byla iškeliama duomenų valdytojo pagrindinei buveinei, ar jo buveinei jo paties valstybėje narėje ( 76 ).

150. Išsamumo sumetimais būtų galima pridurti, kad BDAR 58 straipsnio 5 dalis suformuluota plačiai ir joje nenurodyti subjektai, prieš kuriuos priežiūros institucijos turėtų ar galėtų imtis veiksmų. Dėl to kai kurios šalys savo argumentuose užvedė intriguojančią diskusiją klausimu, kuris, mano nuomone, nėra nesvarbus, tad Teisingumo Teismui nėra reikalo jo nagrinėti šioje byloje. Šis klausimas yra toks: ar priežiūros institucijos, jeigu jos tikrai kompetentingos tai daryti pagal BDAR taisykles, gali imtis veiksmų tik prieš duomenų valdytojo ar duomenų tvarkytojo buveinę (‑es), esančias jų teritorijoje, o gal jos taip pat gali imtis veiksmų ir dėl užsienyje esančių buveinių?

151. Viena vertus, Belgijos, Italijos ir Lenkijos vyriausybės pabrėžia, kad BDAR 55 straipsnio 1 dalyje kiekvienos priežiūros institucijos teritorinė kompetencija apribojama jos pačios teritorija. Iš to jos daro išvadą, kad šios priežiūros institucijos gali imtis veiksmų tik prieš vietos buveines.

152. Vis dėlto manau, kad minėtos nuostatos tekstas nėra toks aiškus: jame kalbama apie reglamentu suteiktų įgaliojimų įgyvendinimą „savo valstybės narės teritorijoje“. Šią nuostatą suprantu taip, kad joje nebūtinai draudžiama pareikšti ieškinį kitoje valstybėje narėje esančiai buveinei. Teritoriškumo elementas, įtrauktas į BDAR 55 straipsnio 1 dalį, aiškinamą atsižvelgiant į bendrą BDAR taikymo sritį, nurodytą jo 1 straipsnio 1 dalyje ir 3 straipsnyje, dėl kurios konkrečiu atveju priežiūros institucija įgyja kompetenciją, susijęs su duomenų tvarkymo padariniais valstybės narės teritorijoje. Šis elementas nėra riba ieškiniams prieš duomenų valdytojus ar duomenų tvarkytojus, įsisteigusius už nacionalinės teritorijos ribų.

153. Kita vertus, DAI teigia, kad kiekviena institucija yra įgaliota imtis veiksmų dėl visų jos teritorijoje padarytų BDAR pažeidimų, neatsižvelgiant į tai, ar duomenų valdytojo ar duomenų tvarkytojo buveinė yra jos teritorijoje. Tai reiškia, kad institucija taip pat turėtų galėti kreiptis į teismą dėl užsienyje esančių buveinių. Šiuo tikslu DAI nurodo Teisingumo Teismo sprendimą Wirtschaftsakademie Schleswig-Holstein ( 77 ). Tame sprendime Teisingumo Teismas konstatavo, kad pagal Direktyvos 95/46 4 ir 28 straipsnius valstybės narės priežiūros institucijai leidžiama įgyvendinti įgaliojimus pradėti teismo procesą dėl šios įmonės buveinės, esančios šios valstybės narės teritorijoje. Taip buvo net ir tuo atveju, kai ši buveinė buvo atsakinga tik už reklamos plotų pardavimą ir kitą rinkodaros veiklą šios valstybės narės teritorijoje, o išimtinė atsakomybė už asmens duomenų rinkimą ir tvarkymą visoje Sąjungos teritorijoje priklausė kitoje valstybėje narėje esančiai buveinei.

154. DAI teisingai teigia, kad tiek, kiek šiuo klausimu BDAR nuostatos yra panašios į Direktyvos 95/46 nuostatas ( 78 ), principai, kuriuos Teisingumo Teismas nustatė Sprendime Wirtschaftsakademie Schleswig-Holstein, mutatis mutandis turėtų būti taikomi ir BDAR. Vis dėlto tame sprendime buvo paaiškinta tik tai, kokiais atvejais institucija gali paduoti į teismą vietos buveinę, nepaisant to, kad duomenis (didžiausią jų dalį) tvarkė kitoje Europos Sąjungos dalyje esanti buveinė. Tame sprendime bent aiškiai nebuvo nei patvirtinta, nei paneigta, kad priežiūros institucija taip pat gali pareikšti ieškinį kitoje Sąjungos dalyje esančiai buveinei.

155. Vis dėlto man atrodo, kad pagal naująjį vieno langelio mechanizmą, sukuriant pagrindinį vykdymo užtikrinimo centrą, neabejotinai reikalaujama, kad priežiūros institucija taip pat galėtų pareikšti ieškinį užsienyje esančioms buveinėms. Nesu tikras, ar naujoji sistema galėtų veikti tinkamai, jeigu institucijoms, visų pirma VPI, būtų užkirstas kelias pareikšti ieškinius kitur esančioms buveinėms ( 79 ).

3. Ketvirtasis klausimas

156. Ketvirtuoju klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas siekia sužinoti, ar atsakymas į pirmąjį klausimą būtų kitoks, jeigu nacionalinė priežiūros institucija jau būtų pradėjusi teismo procesą iki BDAR įsigaliojimo dienos.

157. Iš pradžių reikėtų pažymėti, kad BDAR nėra pereinamojo laikotarpio taisyklių ar kitų taisyklių, kuriomis būtų reglamentuojamas bylos, nagrinėjamos teisme tuo metu, kai įsigalioja naujasis teisės aktas, statusas.

158. Manau, atsižvelgiant į tai, atsakymas į šį klausimą turėtų būti „tai priklauso“.

159. Viena vertus, kalbant apie duomenų valdytojų ir duomenų tvarkytojų duomenų apsaugos taisyklių pažeidimus, padarytus iki datos, kai BDAR tapo taikomas manau, kad tokia byla gali būti toliau nagrinėjama. Neįžvelgiu jokios pagrįstos priežasties, dėl kurios institucijas reikėtų versti nutraukti vykdymo užtikrinimo veiksmus, susijusius su elgesiu praeityje, kuris tuo metu buvo (tariamai) neteisėtas, ir kurių jos buvo kompetentingos imtis (tuo metu). Kitoks sprendimas tarsi reikštų amnestiją tam tikriems duomenų apsaugos įstatymų pažeidimams.

160. Kita vertus, yra kitaip kalbant apie ieškinius dėl pažeidimų, kurie dar nepasireiškę, nes jie įvykdomi po datos, kai buvo pradėtas taikyti BDAR ( 80 ). Šiuo klausimu, kaip ir bet kurioje kitoje situacijoje, kai naujos taisyklės taikomos pagal naują teisinę tvarką susiklosčiusioms situacijoms, naujos materialinės taisyklės bus taikomos tik toms faktinėms aplinkybėms, kurios susiklostė po to, kai buvo pradėtas taikyti naujasis teisės aktas ( 81 ).

161. Prašymą priimti prejudicinį sprendimą pateikęs teismas turi išsiaiškinti, kuris iš dviejų scenarijų faktiškai atspindi dabartinę pagrindinės bylos situaciją ( 82 ). Jei tai būtų pirmasis scenarijus, sakyčiau, kad tebenagrinėjama byla gali būti užbaigta, žinoma, vertinant Sąjungos teisės požiūriu, jeigu joje būtų apsiribota galimu praeityje padarytų pažeidimų konstatavimu. Jei tai būtų antrasis scenarijus, nacionalinė byla turėtų būti nutraukta. Iš tiesų naujuoju teisės aktu buvo nustatyta kitokia kompetencijos ir įgaliojimų sistema, todėl SPI negali imtis veiksmų dėl pažeidimų, padarytų atliekant tarpvalstybinį duomenų tvarkymą, ne specifiniais atvejais ir pagal šiuo tikslu numatytas procedūras ir mechanizmus.

162. Kitoks sprendimas reikštų faktinę Direktyva 95/46 nustatytos sistemos prorogaciją, nepaisant to, kad ir Sąjungos, ir nacionalinėje teisėje ji buvo aiškiai panaikinta ir pakeista nauja sistema. Juk jeigu DAI tikrai pasiektų, kad teismas įpareigotų Facebook ateityje (tačiau kiek laiko?) nebetaikyti pagrindinėje byloje nagrinėjamos praktikos, ar tai nesikirstų su kompetencija dėl (to paties) elgesio, kuri pagal BDAR nuo 2018 m. gegužės 25 d. buvo suteikta VPI ir SPI, ir galbūt prie to dar prisidėtų skirtingose valstybėse narėse priimami priešingi sprendimai (arba teismų nutartys)?

4. Penktasis klausimas

163. Penktuoju klausimu, pateiktu tuo atveju, jeigu į pirmąjį klausimą būtų atsakyta teigiamai, prašymą priimti prejudicinį sprendimą pateikęs teismas siekia išsiaiškinti, ar BDAR 58 straipsnio 5 dalis veikia tiesiogiai, todėl nacionalinė priežiūros institucija gali ja remtis, siekdama iškelti arba tęsti bylą teisme prieš privačius asmenis, net jei ši nuostata nebuvo konkrečiai perkelta į nacionalinę teisę.

164. Pasikartosiu: 58 straipsnio 5 dalyje nurodyta: „kiekviena valstybė narė teisės aktais nustato, kad jos priežiūros institucija turi įgaliojimus atkreipti teisminių institucijų dėmesį į šio reglamento pažeidimus ir tam tikrais atvejais pradėti teismo procesą arba kitaip dalyvauti teismo procese siekiant užtikrinti šio reglamento nuostatų vykdymą“.

165. Facebook, Čekijos ir Portugalijos vyriausybės pažymi, jog šioje nuostatoje aiškiai reikalaujama, kad valstybės narės imtųsi tam tikrų veiksmų: priimtų nuostatas, pagal kurias institucijos galėtų iškelti bylą. Tam, kad įgaliojimai iškelti bylą visapusiškai veiktų, gali reikėti priimti tam tikras nacionalines taisykles, kuriose būtų nustatyti, be kita ko, jurisdikciją turintys teismai, ieškinio pareiškimo sąlygos ir procedūros, kurių turi būti laikomasi.

166. Atsižvelgiant į mano siūlomą atsakymą į pirmąjį klausimą, į penktąjį klausimą atsakyti nėra reikalo. Vis dėlto išsamumo sumetimais nesunkiai pritarčiau DAI, kad ši konkreti imperatyviai suformuluota Sąjungos teisės nuostata yra gana vienareikšmė ir jai nereikalingos papildomos įgyvendinimo priemonės. Šiuo klausimu nereikia pamiršti, kad apskritai Sąjungos teisės nuostata veikia tiesiogiai, jeigu, kalbant apie jos dalyką, ji yra pakankamai aiški, tiksli ir besąlyginė, kad ja būtų galima remtis prieš jos neatitinkančią nacionalinę priemonę, arba jeigu šioje nuostatoje įtvirtinamos teisės, kuriomis privatūs asmenys gali remtis prieš valstybę ( 83 ).

167. Be to, kad tokia nuostata yra įtraukta į reglamentą (teisės aktą, kuris pagal SESV 288 straipsnį yra „privalomas visas ir tiesiogiai taikomas visose valstybėse narėse“ ( 84 )), man atrodo, kad BDAR 58 straipsnio 5 dalyje tikrai galima įžvelgti konkrečią ir tiesiogiai taikytiną taisyklę. Ši taisyklė labai paprasta: priežiūros institucijos privalo turėti teisę pareikšti ieškinį nacionaliniuose teismuose, joms suteikta galimybė pradėti teismo procesą pagal nacionalinę teisę. Nacionaliniame teisme pareikštas ieškinys negali būti pripažintas nepriimtinu dėl teisinio subjektiškumo stokos.

168. Nors pritariu Facebook, Čekijos bei Portugalijos vyriausybėms, kad valstybės narės gali numatyti konkretesnes taisykles, sąlygas arba jurisdikciją priežiūros institucijų reiškiamiems ieškiniams, tokios taisyklės tikrai nėra būtinos tam, kad BDAR 58 straipsnio 5 dalyje numatyta tiesiogiai veikianti taisyklė veiktų. Jeigu nacionalinės teisės aktų leidėjas nepriimtų jokių ad hoc taisyklių, priežiūros institucijų pareikštiems ieškiniams būtų taikomos atitinkamų nacionalinių proceso kodeksų (tai gali būti ir administracinių bylų teisenos kodeksas arba, jei nenustatyta kitaip, civilinio proceso kodeksas) bendrosios normos. Pavyzdžiui, jeigu nebūtų konkrečių įgyvendinimo taisyklių dėl jurisdikcijos, saugu daryti prielaidą, kad būtų taikoma bendra taisyklė, kurią galima rasti kiekviename (civilinio) proceso kodekse (jei nenumatyta kitaip), pagal kurią byla paprastai būtų keliama atsakovo buveinės vietos teisme.

5. Šeštasis klausimas

169. Paskutiniu, šeštuoju klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas siekia išsiaiškinti, ar, jeigu nacionalinė priežiūros institucija būtų įgaliota imtis veiksmų, tokių procedūrų rezultatas gali užkirsti kelią vadovaujančiai priežiūros institucijai padaryti priešingą išvadą, jei vadovaujanti priežiūros institucija nagrinėja tas pačias ar panašias tarpvalstybinio duomenų tvarkymo operacijas pagal BDAR 56 ir 60 straipsniuose nustatytą mechanizmą.

170. Atsižvelgiant į atsakymą, kurį siūlau pateikti į pirmąjį klausimą, į šį klausimą atsakyti nereikia.

171. Vis dėlto šiuo klausimu keliama problema ir vėl parodo, kodėl į pirmąjį klausimą reikėtų atsakyti taip, kaip siūlau šioje išvadoje. Jeigu būtų panaikintas BDAR nustatytų nuoseklumo ir bendradarbiavimo mechanizmų privalomasis pobūdis ir dėl to vieno langelio mechanizmas taptų „pasirinktinis“ arba faktiškai nustotų egzistuoti, būtų smarkiai pakenkta visos sistemos darnai. Dabar BDAR numatytos kompetencijos taisyklės iš esmės būtų pakeistos lygiagrečiomis visų priežiūros institucijų „lenktynėmis siekiant pirmo teismo sprendimo“. Galiausiai, ar šeštuoju klausimu turima omenyje tai, kad tikrąja VPI likusioje Europos Sąjungos dalyje taptų tas, kas „pirmas pasiektų“ galutinio teismo sprendimo stadiją?

V. Išvada

172. Siūlau Teisingumo Teismui taip atsakyti į Hof van beroep te Brussel (Briuselio apeliacinis teismas, Belgija) pateiktus prejudicinius klausimus: – Pagal 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) nuostatas valstybės narės priežiūros institucijai leidžiama pareikšti ieškinį šios valstybės teisme dėl įtariamo šio reglamento pažeidimo, susijusio su tarpvalstybiniu duomenų tvarkymu, nors ji ir nėra vadovaujanti priežiūros institucija, jeigu ji tai daro šiame reglamente nurodytose situacijose ir laikydamasi jame nustatytų procedūrų, – pagal Bendrąjį duomenų apsaugos reglamentą priežiūros institucijai draudžiama teisme tęsti bylą, pradėtą prieš pradedant taikyti šį reglamentą, bet susijusią su pažeidimais, padarytais po šios datos, – Bendrojo duomenų apsaugos reglamento 58 straipsnio 5 dalis yra tiesiogiai veikianti nuostata tuo aspektu, kad nacionalinė institucija gali ja remtis, siekdama iškelti arba toliau tęsti bylą nacionaliniuose teismuose, net jei ši nuostata nėra konkrečiai perkelta į nacionalinę teisę.

( 1 ) Originalo kalba: anglų.

( 2 ) 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentas (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas), OL L 119, 2016, p. 1.

( 3 ) OL L 281, 1995, p. 31; 2004 m. specialusis leidimas lietuvių k., 13 sk., 15 t., p. 355.

( 4 ) Dėl šioje išvadoje nurodytų priežasčių, žr. jos 23 punktą.

( 5 ) Šiuo klausimu Teisingumo Teismas nuosekliai konstatuoja, kad pagal Direktyvą 95/46 „duomenų valdytojo“ sąvoka turi būti aiškinama plačiai – pavyzdžiui, žr. neseniai priimtą 2019 m. liepos 29 d. Sprendimą Fashion ID (C‑40/17, EU:C:2019:629, 65, 66 ir 70 punktai) ir 2018 m. liepos 10 d. Sprendimą Jehovan todistajat (C‑25/17, EU:C:2018:551, 66 punktas). Nematau priežasčių, dėl kurių tas pats negalėtų būti taikoma kalbant apie BDAR.

( 6 ) Pavyzdžiui, žr. 2018 m. liepos 25 d. Sprendimą Confédération paysanne ir kt. (C‑528/16, EU:C:2018:583, 72 ir 73 punktai ir juose nurodyta jurisprudencija) arba 2019 m. spalio 1 d. Sprendimą Blaise ir kt. (C‑616/17, EU:C:2019:800, 35 punktas).

( 7 ) Pavyzdžiui, savo išvadoje byloje Fashion ID paaiškinau priežastis, dėl kurių ir tuo metu galiojusios Direktyvos 95/46, ir vadinamosios E. privatumo direktyvos (2002 m. liepos 12 d. Europos Parlamento ir Tarybos direktyva 2002/58 dėl asmens duomenų tvarkymo ir privatumo apsaugos elektroninių ryšių sektoriuje (Direktyva dėl privatumo ir elektroninių ryšių) (OL L 201, 2002, p. 37; 2004 m. specialusis leidimas lietuvių k., 13 sk., 29 t., p. 514)) taisyklės galėtų būti potencialiai taikomos byloje, susijusioje su slapukų naudojimu (C‑40/17, EU:C:2018:1039, 111–115 punktai). Šiuo klausimu apskritai žr. 2019 m. kovo 12 d. Europos duomenų apsaugos valdybos nuomonę 5/2019 dėl E. privatumo direktyvos ir BDAR sąveikos, visų pirma kiek tai susiję su duomenų apsaugos institucijų kompetencija, užduotimis ir įgaliojimais. Taip pat žr. 2013 m. spalio 2 d. 29 straipsnio duomenų apsaugos darbo grupės dokumentą 02/2013, kuriame pateikiamos sutikimo dėl slapukų gavimo gairės, 1676/13/EN WP 208.

( 8 ) Išskirta mano.

( 9 ) Išskirta mano.

( 10 ) Išskirta mano.

( 11 ) Teisės doktrinoje žr. Bensoussan, A. (ed.), Règlement européen sur la protection des données – Textes, commentaires et orientations pratiques, 2nd ed., Bruylant, Bruxelles, 2017, p. 363.

( 12 ) Panašiai žr. Hijmans, H., „Comment to Article 56 of the GDPR“, Kuner, C., Bygrave, L., Docksey, C. (red.), „The ES General Data Protection Regulation (GDPR) – A Commentary“, Oxford University Press, Oxford, 2020, p. 921.

( 13 ) Pagal analogiją su bendrąja administracine teise (arba teismo proceso kodeksais) institucija gali turėti (bendruosius) įgaliojimus elgtis tam tikru būdu, bet gali ir neturėti kompetencijos (rationae materiae, personae, temporis, loci…) naudotis šiais įgaliojimais ir priimti sprendimą konkrečiu atveju. Taigi, pavyzdžiui, tai, kad baudžiamųjų bylų teismas turi įgaliojimus priimti nuosprendį vykstant baudžiamajam procesui, nebūtinai reiškia, kad jis taip pat bus kompetentingas priimti tokį nuosprendį konkretaus asmens padaryto konkretaus nusikaltimo atveju (kompetenciją šiuo klausimu gali turėti kitas teismas).

( 14 ) 2019 m. liepos 9 d. Europos duomenų apsaugos valdybos nuomonė 8/2019 dėl priežiūros institucijos kompetencijos pasikeitus aplinkybėms, susijusioms su pagrindine arba vienintele buveine, 19 ir 20 punktai.

( 15 ) Šiai bylai reikšmingoje šios nuostatos dalyje buvo nurodyta: „kiekvienai valdžios institucijai suteikiami <…> įgaliojimai dalyvauti teismo procesuose, kai pažeidžiamos pagal šią direktyvą priimtos nacionalinės nuostatos, arba atkreipti teismo institucijų dėmesį į tokius pažeidimus“.

( 16 ) Žr. 2003 m. gegužės 15 d. Europos Komisijos parengtą Pirmąją Duomenų apsaugos direktyvos (95/46/EB) įgyvendinimo ataskaitą, COM(2003) 265 final, p. 12 ir 13, ir jos priedą „Direktyvos (EB) 95/46 įgyvendinimo valstybėse narėse analizė ir poveikio tyrimas“, p. 40. Taip pat žr. Europos Sąjungos pagrindinių teisių agentūros 2012 m. ataskaitą „Galimybė pasinaudoti duomenų apsaugos teisių gynimo priemonėmis Sąjungos valstybėse narėse“, visų pirma p. 20–22.

( 17 ) Žr. šios išvados 51, 57 ir 58 punktus.

( 18 ) 2015 m. spalio 6 d. Sprendimas Schrems (C‑362/14, EU:C:2015:650, 63 punktas) ir 2020 m. liepos 16 d. Sprendimas Facebook Ireland ir Schrems (C‑311/18, EU:C:2020:559, 109 punktas).

( 19 ) Kai kuriais atvejais SPI turi teisę (ir todėl turėtų galėti) pateikti VPI sprendimo projektą: žr. BDAR 56 straipsnio 2–4 dalis.

( 20 ) Šiuo klausimu žr. BDAR 125 konstatuojamąją dalį.

( 21 ) 2020 m. liepos 16 d. Sprendimas (C‑311/18, EU:C:2020:559, 120 punktas) (išskirta mano). Be to, dėl paaiškinimo, kad būtent kompetentinga priežiūros institucija turi reaguoti į BDAR pažeidimą ir pasirinkti tinkamiausią reagavimo priemonę žr. generalinio advokato H. Saugmandsgaard Øe išvadą byloje Facebook Ireland ir Schrems (C‑311/18, EU:C:2019:1145, 147 ir 148 punktai). Plg. šiuos teiginius su 2015 m. spalio 6 d. Sprendimu Schrems (C‑362/14, EU:C:2015:650, 65 punktas), kuriame Teisingumo Teismas konstatavo, kad pagal Direktyvą 95/46 (bet kuri) nacionalinė priežiūros institucija turėjo galėti pradėti teismo procesą.

( 22 ) Žymioji frazė iš „The Good, the Bad and the Ugly“ (1966 m. filmas, kurį režisavo Sergio Leone, vaid. Clint Eastwood, Lee Van Cleef ir Eli Wallach, prodiusavo Produzioni Europee Associate ir United Artists).

( 23 ) BDAR 68 straipsnis.

( 24 ) Visų pirma žr. BDAR 70 straipsnio 1 dalies a punktą.

( 25 ) Žr. Komisijos pasiūlymo dėl Europos Parlamento ir Tarybos reglamento dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo (Bendrasis duomenų apsaugos reglamentas) aiškinamąjį memorandumą, COM(2012) 11 final. Taip pat žr. BDAR 10, 13 ir 123 konstatuojamąsias dalis.

( 26 ) Šiuo klausimu bendrai žr. Giurgiu, A. ir Larsen, T., „Roles and Powers of National Data Protection Authorities – Moving from Directive 95/46/EC to the GDPR: Stronger and More ‘European’ DPAs as Guardians of Consistency?“European Data Protection Law Review, 2016, p. 342–352, ypač p. 349; ir Voigt, P., von dem Bussche, A., „The ES General Data Protection Regulation (GDPR) – A Practical Guide“, Springer, 2017, p. 190–192.

( 27 ) 2015 m. spalio 1 d. sprendimas (C‑230/14, EU:C:2015:639, 42–60 punktai).

( 28 ) 2018 m. birželio 5 d. sprendimas (C‑210/16, EU:C:2018:388, 65–74 punktai).

( 29 ) Pavyzdžiui, žr. Miglio, A., „The Competence of Supervisory Authorities and the One-stop-shop Mechanism“, in ES Law Live – Weekend edition, No. 28, 2020, p. 10–14, ypač p. 11.

( 30 ) Žr. generalinio advokato Y. Bot išvadą byloje Wirtschaftsakademie Schleswig-Holstein (C‑210/16, EU:C:2017:796, 103 punktas).

( 31 ) 2019 m. rugsėjo 24 d. sprendimas (C‑507/17, EU:C:2019:772, 68 punktas).

( 32 ) C‑311/18, EU:C:2019:1145, 155 punktas.

( 33 ) Žr. Komisijos pasiūlymo 97 ir 98 konstatuojamąsias dalis (žr. šios išvados 25 išnašą).

( 34 ) Žr. 2014 m. lapkričio 28 d. Tarybos dokumentą 15656/1/14 REV 1 ir 2014 m. gruodžio 4 ir 5 d. Tarybos dokumentą 16526/14, p. 2, 8 ir 9.

( 35 ) Ten pat., p. 1.

( 36 ) Žr. 2016 m. balandžio 8 d. Tarybos dokumentą 5419/1/16 REV 1, p. 203–205.

( 37 ) Žr. šios išvados 45 punktą.

( 38 ) 2014 m. lapkričio 28 d. Tarybos dokumentas 15656/1/14 REV 1, p. 2.

( 39 ) Žr. 2013 m. lapkričio 22 d. Dokumentą A7‑0402/2013, kuriame vieno langelio mechanizmas buvo nurodomas kaip „didžiuli[s] žingsni[s] siekiant duomenų apsaugos teisės aktus nuosekliai taikyti visoje ES“.

( 40 ) 2014 m. kovo 12 d. Dokumentas EP‑PE_TC1-COD(2012)0011 (ypač žr. 148, 149, 158, 159 ir 167 pakeitimus).

( 41 ) Panašiai tiesiog darau prielaidą, kad šios Chartijos nuostatos ir teisės, kuriomis remiamasi, yra duomenų subjektų teisės, kurias priežiūros institucija turi apsaugoti, o ne tai, kad šios teisės priklausytų pačiai priežiūros institucijai. Idėja, kad administracinės valdžios institucijoms, t. y. valstybės vardu veikiantiems subjektams, būtų suteiktos pagrindinės (žmogaus) teisės, kuriomis jos galėtų remtis prieš valstybę (arba labiau viena prieš kitą, o esant horizontaliam tiesioginiam veikimui – net prieš fizinius asmenis), tikrai yra gana neįprasta. Mano nuomone, atsakymas į šį klausimą tikrai turėtų būti neigiamas, bet pripažįstu, kad valstybėse narėse laikomasi įvairių požiūrių. Kad ir kaip būtų, šios bylos aplinkybėmis šį klausimą galima saugiai palikti nenagrinėtą.

( 42 ) Šiuo klausimu žr. 2015 m. spalio 6 d. Sprendimą Schrems (C‑362/14, EU:C:2015:650, 39 punktas).

( 43 ) Žr. BDAR 7, 9 ir 10 konstatuojamąsias dalis (išskirta mano).

( 44 ) Šiuo klausimu žr. BDAR 10, 11 ir 13 konstatuojamąsias dalis.

( 45 ) Išskirta mano.

( 46 ) Šiuo klausimu žr. 2017 m. rugsėjo 27 d. Sprendimą Puškár (C‑73/16, EU:C:2017:725, 54–76 punktai ir juose nurodyta jurisprudencija).

( 47 ) Žr. BDAR 79 straipsnį ir 145 konstatuojamąją dalį.

( 48 ) Taip pat turint omenyje, kad praktiškai šis sprendimas sutampa su tuo, koks teismas (actoris) (iš tiesų tai yra apsauginė funkcija) paprastai turėtų jurisdikciją dėl vartotojų sutarčių pagal Briuselio reglamento sistemą (apskritai žr. 2018 m. sausio 25 d. Sprendimą Schrems (C‑498/16, EU:C:2018:37).

( 49 ) Žr. BDAR 141 ir 143 konstatuojamąsias dalis ir 2020 m. liepos 16 d. Sprendimą Facebook Ireland ir Schrems (C‑311/18, EU:C:2020:559, 110 punktas).

( 50 ) Žr. BDAR 143 konstatuojamąją dalį ir 78 straipsnį.

( 51 ) Dėl tokio požiūrio, kalbant apie kitokį (decentralizuotą) reguliavimą, žr. mano išvadą byloje Astellas Pharma (C‑557/16, EU:C:2017:957).

( 52 ) Dėl pastarojo klausimo 78 straipsnio 4 dalyje pažymėta, kad, „kai byla iškelta dėl priežiūros institucijos sprendimo, kuris buvo priimtas po to, kai Valdyba pateikė nuomonę ar priėmė sprendimą pagal nuoseklumo užtikrinimo mechanizmą, priežiūros institucija perduoda teismui tą nuomonę ar sprendimą“. Praktiškai tai gali būti vienintelis būdas vykdyti Valdybos sprendimų teisminę kontrolę, nes, kaip pranašiškai patvirtinta BDAR 143 konstatuojamojoje dalyje, „bet kuris fizinis arba juridinis asmuo“ (taigi įskaitant duomenų subjektus) gali, jeigu yra įvykdytos SESV 263 straipsnyje numatytos sąlygos, ginčyti teisiškai privalomus Valdyb