Unionin tuomioistuimen tuomio (suuri jaosto) 15.6.2021 (ennakkoratkaisupyyntö, jonka on esittänyt Hof van beroep te Brussel – Belgia) – Facebook Ireland Limited, Facebook Inc., Facebook Belgium BVBA v. Gegevensbeschermingsautoriteit

(asia C-645/19)¹

(Ennakkoratkaisupyyntö – Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Euroopan unionin perusoikeuskirja – 7, 8 ja 47 artikla – Asetus (EU) 2016/679 – Henkilötietojen rajatylittävä käsittely – ”Yhden luukun” järjestelmä – Valvontaviranomaisten lojaali ja tehokas yhteistyö – Toimivalta ja valtuudet – Valtuudet panna vireille tai käynnistää muulla tavoin oikeustoimet)

Oikeudenkäyntikieli: hollanti

Ennakkoratkaisua pyytänyt tuomioistuin

Hof van beroep te Brussel

Pääasian asianosaiset

Valittajat: Facebook Ireland Limited, Facebook Inc. ja Facebook Belgium BVBA

Vastapuoli: Gegevensbeschermingsautoriteit

Tuomiolauselma

Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) 55 artiklan 1 kohtaa sekä 56–58 artiklaa ja 60–66 artiklaa, luettuina yhdessä Euroopan unionin perusoikeuskirjan 7, 8 ja 47 artiklan kanssa, on tulkittava siten, että jäsenvaltion valvontaviranomainen, jolla tämän asetuksen 58 artiklan 5 kohdan täytäntöönpanemiseksi annetun kansallisen lainsäädännön nojalla on valtuudet saattaa kaikki tämän asetuksen väitetyt rikkomiset jäsenvaltionsa tuomioistuimen tietoon ja tarvittaessa panna vireille tai käynnistää muulla tavoin oikeustoimet, voi käyttää näitä valtuuksia siltä osin kuin kyse on rajatylittävästä tietojenkäsittelystä, vaikka se ei ole saman asetuksen 56 artiklan 1 kohdassa tarkoitettu johtava valvontaviranomainen tämän tietojenkäsittelyn osalta, jos se tekee näin jossakin niistä tilanteista, joissa asetuksella 2016/679 annetaan tälle valvontaviranomaiselle toimivalta tehdä päätös, jossa todetaan mainitun käsittelyn olevan asetuksen sääntöjen vastaista, ja edellyttäen, että se noudattaa tässä asetuksessa säädettyjä yhteistyö- ja yhdenmukaisuusmenettelyjä.

Asetuksen 2016/679 58 artiklan 5 kohtaa on tulkittava siten, että rajatylittävän tietojenkäsittelyn tilanteessa jäsenvaltion valvontaviranomaisen, joka ei ole johtava valvontaviranomainen, tässä säännöksessä tarkoitettua oikeudellisen menettelyn vireille panemista koskevien valtuuksien käyttäminen ei edellytä, että henkilötietojen rajatylittävää käsittelyä suorittavan rekisterinpitäjän tai henkilötietojen käsittelijän, jota vastaan kyseinen oikeudellinen menettely pannaan vireille, päätoimipaikka tai muu toimipaikka on tämän jäsenvaltion alueella.

Asetuksen 2016/679 58 artiklan 5 kohtaa on tulkittava siten, että jäsenvaltion valvontaviranomaisen, joka ei ole johtava valvontaviranomainen, valtuuksia, jotka koskevat tämän asetuksen väitettyjen rikkomisten saattamista tämän valtion tuomioistuimen tietoon ja tarvittaessa oikeustoimien vireille panemista tai muulla tavoin käynnistämistä tässä säännöksessä tarkoitetuin tavoin, voidaan käyttää sekä rekisterinpitäjän päätoimipaikkaa, joka sijaitsee tämän viranomaisen omassa jäsenvaltiossa, vastaan että tämän rekisterinpitäjän muuta toimipaikkaa vastaan, jos oikeudellinen menettely koskee tietojenkäsittelyä, joka suoritetaan tässä toimipaikassa toiminnan yhteydessä, ja mainitulla viranomaisella on toimivalta käyttää näitä valtuuksia esitettyyn ensimmäiseen ennakkoratkaisukysymykseen annetussa vastauksessa esitetyn mukaisesti.

Asetuksen 2016/679 58 artiklan 5 kohtaa on tulkittava siten, että kun jäsenvaltion valvontaviranomainen, joka ei ole kyseisen asetuksen 56 artiklan 1 kohdassa tarkoitettu johtava valvontaviranomainen, on pannut vireille henkilötietojen rajatylittävää käsittelyä koskevan oikeudellisen menettelyn ennen 25.5.2018 eli ennen kuin mainittu asetus tuli sovellettavaksi, tätä menettelyä voidaan unionin oikeuden näkökulmasta jatkaa niiden säännösten perusteella, joista säädetään yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annetussa Euroopan parlamentin ja neuvoston direktiivissä 95/46/EY, jota sovelletaan edelleen siinä säädettyjen sääntöjen rikkomisiin, jotka on tehty tämän direktiivin kumoamisajankohtaan mennessä. Tämä viranomainen voi lisäksi panna vireille mainitun menettelyn tämän saman ajankohdan jälkeen tehdyistä rikkomisista asetuksen 2016/679 58 artiklan 5 kohdan nojalla, jos kyseessä on jokin niistä tilanteista, joissa kyseisessä asetuksessa poikkeuksellisesti annetaan jäsenvaltion valvontaviranomaiselle, joka ei ole johtava valvontaviranomainen, toimivalta tehdä päätös, jossa todetaan kyseessä olevan tietojenkäsittelyn olevan vastoin mainitun asetuksen sääntöjä, jotka koskevat luonnollisten henkilöiden oikeuksien suojaa henkilötietojen käsittelyssä, ja edellyttäen, että samassa asetuksessa säädettyjä yhteistyö- ja yhdenmukaisuusmenettelyjä noudatetaan, mikä ennakkoratkaisua pyytäneen tuomioistuimen on tarkistettava.

Asetuksen 2016/679 58 artiklan 5 kohtaa on tulkittava siten, että tällä säännöksellä on välitön oikeusvaikutus, joten kansallinen valvontaviranomainen voi vedota mainittuun säännökseen pannakseen vireille oikeudellisen menettelyn yksityisiä vastaan tai jatkaakseen sitä, vaikka tätä säännöstä ei olisi nimenomaisesti pantu täytäntöön asianomaisen jäsenvaltion lainsäädännössä.

    

____________

¹ EUVL C .406, 2.12.2019.