CELEX: 62021CN0683
Language: fi
Date: 2021-11-12 00:00:00
Title: Asia C-683/21: Ennakkoratkaisupyyntö, jonka Vilniaus apygardos administracinis teismas (Liettua) on esittänyt 12.11.2021 – Nacionalinis visuomenės sveikatos centras prie Sveikatos apsaugos ministerijos v. Valstybinė duomenų apsaugos inspekcija

21.2.2022   
            
            
               FI
            
            
               Euroopan unionin virallinen lehti
            
            
               C 84/26
            
         
      Ennakkoratkaisupyyntö, jonka Vilniaus apygardos administracinis teismas (Liettua) on esittänyt 12.11.2021 – Nacionalinis visuomenės sveikatos centras prie Sveikatos apsaugos ministerijos v. Valstybinė duomenų apsaugos inspekcija
      (Asia C-683/21)
      (2022/C 84/34)
      Oikeudenkäyntikieli: liettua
      
         Ennakkoratkaisua pyytänyt tuomioistuin
      
      Vilniaus apygardos administracinis teismas
      
         Pääasian asianosaiset
      
      
         Kantaja: Nacionalinis visuomenės sveikatos centras prie Sveikatos apsaugos ministerijos
      
         Vastaaja: Valstybinė duomenų apsaugos inspekcija
      
         Ennakkoratkaisukysymykset
      
      
                  1)
               
               
                  Voidaanko yleisen tietosuoja-asetuksen (1) 4 artiklan 7 alakohdassa säädettyä rekisterinpitäjän käsitettä tulkita siten, että rekisterinpitäjänä on myös pidettävä henkilöä, joka aikoo hankkia tietojenkeruuvälineen (mobiilisovelluksen) julkisella hankinnalla, riippumatta siitä, ettei sopimusta julkisesta hankinnasta ole tehty ja että luotua tuotetta (mobiilisovellusta), jonka hankintaan hankintamenettelyä on käytetty, ei ole luovutettu?
               
            
                  2)
               
               
                  Voidaanko yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa säädettyä rekisterinpitäjän käsitettä tulkita siten, että rekisterinpitäjänä on myös pidettävä hankintaviranomaista, joka ei ole saanut omistusoikeutta luotuun IT-tuotteeseen eikä saanut sitä haltuunsa, vaan luodun sovelluksen lopulliseen versioon sisältyy linkkejä tai liitäntöjä kyseiseen julkiseen yksikköön ja/tai luottamuksellisuutta koskevissa periaatteissa, joita kyseinen julkinen yksikkö ei ole virallisesti hyväksynyt tai tunnustanut, määritettiin kyseinen julkinen yksikkö rekisterinpitäjäksi?
               
            
                  3)
               
               
                  Voidaanko yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa säädettyä rekisterinpitäjän käsitettä tulkita siten, että rekisterinpitäjänä on myös pidettävä henkilöä, joka ei ole suorittanut varsinaisia tietojenkäsittelytoimia, sellaisina kuin ne määritellään yleisen tietosuoja-asetuksen 4 artiklan 2 alakohdassa, ja/tai ei ole antanut selkeää lupaa/suostumusta tällaisten toimien suorittamiseen? Onko rekisterinpitäjän käsitteen tulkinnan kannalta merkityksellinen se seikka, että henkilötietojen käsittelyssä käytetty IT-tuote luotiin hankintaviranomaisen laatiman toimeksiannon mukaisesti?
               
            
                  4)
               
               
                  Jos varsinaisten tietojenkäsittelytoimien määrittäminen on merkityksellistä rekisterinpitäjän käsitteen tulkinnan kannalta, onko yleisen tietosuoja-asetuksen 4 artiklan 2 alakohtaan sisältyvää henkilötietojen käsittelyn määritelmää tulkittava siten, että siihen kuuluvat myös tilanteet, joissa henkilötietojen jäljennöksiä on käytetty IT-järjestelmien testaamiseen mobiilisovelluksen hankintaprosessissa?
               
            
                  5)
               
               
                  Voidaanko yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdan ja 26 artiklan 1 kohdan mukaista yhteisrekisterinpitäjinä toimimista tulkita yksinomaan siten, että se käsittää tietojenkäsittelyn tarkoituksen ja keinojen määrittämisen osalta tarkoituksellisesti yhteensovitetut toimet, vai voidaanko tätä käsitettä tulkita myös siten, että yhteisrekisterin pitäminen käsittää myös tilanteet, joissa tietojenkäsittelyn tarkoituksen ja keinojen osalta ei ole olemassa selkeää ”järjestelyä” ja/tai toimia ei yhteensoviteta yksikköjen kesken? Ovatko siihen henkilötietojen käsittelyn keinon (IT-sovelluksen) luomisen vaiheeseen, jossa henkilötietoja käsiteltiin, liittyvä olosuhde ja sovelluksen luomisen tarkoitus oikeudellisesti merkityksellisiä yhteisrekisterinpitäjinä toimimisen käsitteen tulkinnan kannalta? Voidaanko yhteisrekisterinpitäjien välinen ”järjestely” ymmärtää yksinomaan siten, että siinä määritellään selvästi yhteisrekisterinpitäjinä toimimiseen sovellettavat ehdot?
               
            
                  6)
               
               
                  Onko yleisen tietosuoja-asetuksen 83 artiklan 1 kohtaa, jossa edellytetään, että ”hallinnollisten sakkojen määrääminen – – on – – tehokasta, oikeasuhteista ja varoittavaa”, tulkittava siten, että se käsittää myös tapaukset, joissa ”rekisterinpitäjä” on vastuussa, kun IT-tuotteen luomisprosessissa kehittäjä myös suorittaa henkilötietojen käsittelytoimia, ja onko rekisterinpitäjä aina automaattisesti oikeudellisesti vastuussa käsittelijän suorittamista epäasianmukaisista henkilötietojen käsittelytoimista? Onko kyseistä säännöstä tulkittava siten, että se käsittää myös tapaukset, joissa rekisterinpitäjällä on tuottamuksesta riippumaton vastuu?
               
            
         (1)  Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annettu Euroopan parlamentin ja neuvoston asetus (EU) 2016/679 (yleinen tietosuoja-asetus) (EUVL 2016, L 119, s. 1).