Kohtuasi T‑343/13

CN

versus

Euroopa Parlament

Lepinguväline vastutus – Euroopa Parlamendile esitatud petitsioon – Teatavate isikuandmete avaldamine parlamendi veebisaidil – Üksikisikutele õigusi andva õigusnormi piisavalt selge rikkumise puudumine

Kokkuvõte – Üldkohtu (kuues koda) 3. detsembri 2015. aasta otsus

1.      Lepinguväline vastutus – Tingimused – Õigusvastasus – Liidu õiguse piisavalt selge rikkumine – Tingimus, et institutsioon on ilmselgelt ja oluliselt eiranud oma kaalutlusõiguse piire – Isikuandmete kaitset käsitlevate õigusnormide rikkumine – Hõlmamine

(ELTL artikli 340 lõige 2; Euroopa Liidu põhiõiguste harta artikkel 8; Euroopa Parlamendi ja nõukogu määrus nr 45/2001)

2.      Euroopa Liidu institutsioonid – Füüsiliste isikute kaitse isikuandmete töötlemisel – Määrus nr 45/2001 – Tervisega seonduvad andmed – Mõiste – Lai tõlgendus – Piirid

(Euroopa Parlamendi ja nõukogu määrus nr 45/2001, artikli 10 lõige 1)

3.      Euroopa Liidu institutsioonid – Füüsiliste isikute kaitse isikuandmete töötlemisel – Määrus nr 45/2001 – Töötlemise seaduslikkuse nõue – Andmesubjekti nõusolek – Mõiste – Tundlikku teavet sisaldava petitsiooni esitamine Euroopa Parlamendi veebisaidi kaudu – Petitsiooni esitajale enne esitamist antud teave, mis võimaldab tal hinnata tema petitsiooni üldsusele kättesaadavust – Töötlemise seaduslikkus

(Euroopa Parlamendi ja nõukogu määrus nr 45/2001, artikli 2 punkt h, artikli 5 punkt d ja artikli 10 lõike 2 punkt a)

4.      Lepinguväline vastutus – Tingimused – Õigusvastasus – Liidu õiguse piisavalt selge rikkumine – Viitamine kolmanda isiku õiguste rikkumises seisnevale õigusvastasele tegevusele – Lubamatus

(ELTL artikli 340 teine lõik)

5.      Euroopa Liidu institutsioonid – Füüsiliste isikute kaitse isikuandmete töötlemisel – Määrus nr 45/2001 – Õigus andmete kustutamisele – Tingimus – Asjassepuutuvate andmete ebaseaduslik töötlemine – Andmete kustutamine hea tahte avaldusena – Mõistliku aja nõude järgimine

(Euroopa Parlamendi ja nõukogu määrus nr 45/2001, artikkel 16)

6.      Põhiõigused – Eraelu austamine – Isikuandmete kaitse – Andmete avalikustamine andmesubjekti nõusolekul – Sekkumine eraellu – Puudumine

7.      Lepinguväline vastutus – Tingimused – Õigusvastasus – Kahju – Põhjuslik seos – Kumuleeruvad tingimused – Ühe tingimuse puudumine – Kahju hüvitamise nõude tervikuna rahuldamata jätmine

(ELTL artikli 340 teine lõik)

8.      Lepinguväline vastutus – Tingimused – Õigusvastase aktiga tekitatud tegelik ja kindel kahju – Varaline ja mittevaraline kahju – Tõendamiskoormis

(ELTL artikli 340 teine lõik)

9.      Lepinguväline vastutus – Tingimused – Põhjuslik seos – Kahju, mis seisneb kohtueelses menetluses kantud kuludes – Hageja vabast valikust tingitud kulud – Põhjusliku seose puudumine kahju ja institutsiooni tegevuse vahel

(ELTL artikli 340 teine lõik)

1.      Liidu lepinguvälise vastutuse puhul nõuab liidu institutsioonide õigusvastase tegevuse tingimus, et esineks üksikisikutele õigusi andva õigusnormi piisavalt selge rikkumine. Otsustav kriteerium tuvastamaks, et liidu õiguse rikkumine on piisavalt selge, on see, et liidu institutsioon on ilmselgelt ja tõsiselt eiranud oma kaalutlusõiguse piire.

Siinkohal tuleb märkida, et Euroopa Liidu põhiõiguste harta artiklis 8 sätestatud õigust isikuandmete kaitsele on liidu institutsioonide ja asutuste aktide osas edasi arendatud määruses nr 45/2001 üksikisikute kaitse kohta isikuandmete töötlemisel ühenduse institutsioonides ja asutustes ning selliste andmete vaba liikumise kohta, ning iga institutsiooni poolt võetud selles määruse rakendussätetes, kusjuures kõigi nende erinevate sätete eesmärk on anda õigusi üksikisikutele. Seetõttu võib hageja neile tugineda oma hüvitise nõude raames.

(vt punktid 44 ja 47)

2.      Määruses nr 45/2001 üksikisikute kaitse kohta isikuandmete töötlemisel ühenduse institutsioonides ja asutustes ning selliste andmete vaba liikumise kohta artikli 10 lõikes 1 sisalduvat väljendit „tervisega seonduvad andmed“ tuleb tõlgendada laialt, et see hõlmaks isiku nii füüsilise kui ka vaimse tervise kõiki aspekte puudutavat teavet. Samas ei või seda mõistet laiendada nii, et see hõlmaks väljendeid, millega ei kaasne isiku tervisega või haigusliku seisundiga seonduvate andmete avaldamine.

(vt punkt 50)

3.      Kuna määruses nr 45/2001 üksikisikute kaitse kohta isikuandmete töötlemisel ühenduse institutsioonides ja asutustes ning selliste andmete vaba liikumise kohta artikli 2 punktis h ei ole ette nähtud mingeid vorminõudeid andmesubjekti nõusoleku kohta teda puudutavate andmete töötlemiseks, võib Euroopa Parlamendile petitsiooni esitamist vaadelda asjassepuutuva isiku tahteavaldusena.

Tähelepanelik tutvumine parlamendi veebisaidil esitatud teabega petitsiooni avalikustamise kohta oleks pidanud mõistlikult tähelepanelikul petitsiooni esitajal võimaldama hinnata oma tegevuse mastaapi ja tagajärgi. Petitsiooni puhul, mis puudutab asjaolu, et liidu institutsioon oli liidu ametnikust petitsiooni esitaja teenistuskäigu puhul väidetavalt jätnud nõuetekohaselt arvesse võtmata petitsiooni esitaja ja tema poja terviseseisundi, on see tahteavaldus konkreetne, sest parlament teavitas petitsiooni esitajat petitsiooni esitamise hetkel asjaolust, et tema kaebus saab olema internetis kättesaadav ja et viimane andis selleks oma sõnaselge nõusoleku, tehes risti vormi lahtritesse, mis puudutavad avalikult käsitlemist ja interneti teel ligipääsetavasse registrisse kandmist, ilma et tema nõusolekut peaks kaudselt tuvastama mõnest tegevusest. Neil asjaoludel tuleb asuda seisukohale, et petitsiooni esitaja andis sõnaselge nõusoleku delikaatse tervisealase teabe avalikustamiseks määruse nr 45/2001 artikli 10 lõike 2 punkti a tähenduses. Need kaalutlused on mutatis mutandis kohaldatavad muudele isikuandmetele kui petitsiooni esitaja delikaatsed isikuandmed.

Lisaks tuleb märkida, et niisuguste isikuandmete töötlemine, mida ei ole mainitud määruse nr 45/2001 artikli 10 lõikes 1 (nagu petitsiooni esitaja teenistuskäiku puudutavad andmed), peab toimuma määruse nr 45/2001 artiklis 5 ette nähtud korras. Selle määruse artikli 5 punkti d kohaselt võib andmeid töödelda muu hulgas tingimusel, et asjassepuutuv isik on selleks andnud ühemõttelise nõusoleku. Teisisõnu, andmeid võib töödelda, kui andmesubjekt on andnud oma nõusoleku selgelt ja ühemõtteliselt. Olgu lisatud, et samal ajal kui määruse nr 45/2001 artikli 10 lõike 2 punktis a on nõutud, et nõusolek oleks sõnaselge, on sama määruse artikli 5 punktis d ette nähtud ühemõttelise nõusoleku andmine. Delikaatsete isikuandmete laadi arvestades on loogiline leida, et määruse nr 45/2001 artikli 5 punktis d nõusolekule seatud tingimused ei saa olla rangemad kui nimetatud määruse artikli 10 lõike 2 punktis a ette nähtud tingimused.

(vt punktid 59, 70, 74 ja 76–79)

4.      Liidu lepinguvälise vastutuse valdkonnas on selleks, et tagada üksikisikutele õigusi andva õigusnormi rikkumist puudutava tingimuse kasulik mõju, tarvis, et viidatud õigusnormiga antav kaitse oleks sellele normile viitava isiku seisukohalt tõhus, ja et see isik kuuluks seega nende isikute hulka, kellele kõnealune õigusnorm õigusi annab. Hüvitise aluseks ei saa olla õigusnorm, mis kaitseb õigusvastase tegevuse eest, millele see isik tugineb, mitte seda üksikisikut, vaid mõnda teist üksikisikut. Sellest järeldub, et hageja ei saa kahju hüvitamise nõude raames viidata õigusvastasele tegevusele, mis väljendub kolmanda isiku õiguste väidetavas rikkumises.

(vt punkt 86)

5.      Määruse nr 45/2001 üksikisikute kaitse kohta isikuandmete töötlemisel ühenduse institutsioonides ja asutustes ning selliste andmete vaba liikumise kohta artikkel 16 annab õiguse nõuda isikuandmete kustutamist ainult juhul, kui andmete töötlemine on ebaseaduslik. Seetõttu ei saa sellele sättele tugineda kustutamisnõude alusena juhul, kui töötlemine on seaduslik. Asjaolu, et liidu institutsioon otsustas taotluse rahuldada, ei tähenda iseenesest, et ta möönaks, et algne avaldamine oli ebaseaduslik.

Olgu rõhutatud, et määruse nr 45/2001 rakendamiseks Euroopa Parlamendi poolt vastu võetud rakenduseeskirjade artikli 12 lõikes 3 on ette nähtud, et kui isikuandmete kustutamise taotlus otsustatakse rahuldada, tuleb kustutamine teha viivitamatult. Selles sättes on aga silmas peetud olukordi, kus taotlus rahuldatakse, kuna see on põhjendatud, ehk täpsemalt kuna töötlemine on ebaseaduslik. Sellisel juhul on loogiline, et kustutamine tuleb teha viivitamatult. Seevastu juhul, kus taotlus ei ole põhjendatud, vaid see rahuldatakse hea tahte avaldusena, ei ole põhjust näha ette viivitamatu täitmise kohustust. Sellisel juhul peab parlament üksnes asuma endale võetud kohustust mõistliku aja jooksul täitma.

(vt punktid 90 ja 100)

6.      Isikuandmete avalikustamise puhu liidu institutsiooni poolt ei ole võimalik leida, et tegemist on ametivõimude sekkumisega eraellu Euroopa inimõiguste konventsiooni artikli 8 tähenduses, kui andmesubjekt annab avalikustamiseks oma nõusoleku.

(vt punkt 107)

7.      Vt otsuse tekst.

(vt punkt 110)

8.      Vt otsuse tekst.

(vt punktid 118 ja 119)

9.      Vt otsuse tekst.

(vt punktid 123 ja 124)