EUROOPA KOHTU OTSUS (teine koda)
20. detsember 2017(*)
Eelotsusetaotlus – Füüsiliste isikute kaitse isikuandmete töötlemisel – Direktiiv 95/46/EÜ – Artikli 2 punkt a – Mõiste „isikuandmed“ – Eksaminandi kirjalikud vastused kutsealasel eksamil – Parandused, mille eksamineerija vastustesse tegi – Artikli 12 punktid a ja b – Andmesubjekti teabega tutvumise ja sellesse paranduste sisseviimise õiguse ulatus
Kohtuasjas C‑434/16,
mille ese on ELTL artikli 267 alusel Supreme Courti (Iirimaa kõrgeim kohus) 29. juuli 2016. aasta otsusega esitatud eelotsusetaotlus, mis saabus Euroopa Kohtusse 4. augustil 2016, menetluses
Peter Nowak
versus
Data Protection Commissioner,
EUROOPA KOHUS (teine koda),
koosseisus: koja president M. Ilešič (ettekandja), kohtunikud A. Rosas, C. Toader, A. Prechal, ja E. Jarašiūnas,
kohtujurist: J. Kokott,
kohtusekretär: ametnik M. Aleksejev,
arvestades kirjalikku menetlust ja 22. juuni 2017. aasta kohtuistungil esitatut,
arvestades seisukohti, mille esitasid:
– P. Nowak, esindajad: solicitor G. Rudden ja N. Travers, SC,
– Data Protection Commissioner, esindajad: solicitor D. Young ja P.A. McDermott, SC,
– Iirimaa, esindajad: E. Creedon, L. Williams ja A. Joyce, keda abistas barrister A. Caroll,
– Tšehhi valitsus, esindajad: M. Smolek ja J. Vláčil,
– Kreeka valitsus, esindajad: G. Papadaki ja S. Charitaki,
– Ungari valitsus, esindajad: M. Z. Fehér ja A. Pálfy,
– Austria valitsus, esindaja: G. Eberhard,
– Poola valitsus, esindaja: B. Majczyna,
– Portugali valitsus, esindajad: L. Inez Fernandes, M. Figueiredo ja I. Oliveira,
– Euroopa Komisjon, esindajad: D. Nardi ja H. Kranenborg,
olles 20. juuli 2017. aasta kohtuistungil ära kuulanud kohtujuristi ettepaneku,
on teinud järgmise
otsuse
1 Eelotsusetaotlus käsitleb küsimust, kuidas tõlgendada Euroopa Parlamendi ja nõukogu 24. oktoobri 1995. aasta direktiivi 95/46/EÜ üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta (EÜT 1995, L 281, lk 31; ELT eriväljaanne 13/15, lk 355).
2 Taotlus on esitatud kohtuvaidluses, milles on vastamisi Peter Nowak ja Data Protection Commissioner (Iirimaa andmekaitsevolinik) ja milles vaieldakse selle üle, et viimane keeldus võimaldamast P. Nowakil tutvuda parandatud eksamitööga eksamilt (kus P. Nowak oli osalenud), põhjendusega, et selles töös leiduva teabe näol ei ole tegemist isikuandmetega.
Õiguslik raamistik
Liidu õigus
Direktiiv 95/46
3 Direktiivi 95/46 eesmärk on direktiivi artikli 1 kohaselt kaitsta isikuandmete töötlemisel füüsiliste isikute põhiõigusi ja -vabadusi ning eelkõige nende õigust eraelu puutumatusele, samuti kõrvaldada selliste andmete vaba liikumise takistused; direktiivi põhjendused 25, 26 ja 41 on sõnastatud järgmiselt:
„(25) kaitsmise põhimõtted peavad kajastuma ühest küljest töötlemise eest vastutavate isikute […] suhtes kehtestatud kohustustes, eelkõige seoses andmete kvaliteedi, tehnilise turvalisuse, järelevalveasutustele teatamise ja andmete töötlemise asjaoludega, ja teisest küljest õigustes, mis on antud üksikisikule, kelle andmeid töödeldakse, ja mille kohaselt tuleb talle töötlemisest teatada, võimaldada tal andmetega tutvuda ning mille kohaselt ta võib nõuda andmete korrigeerimist ja teatavatel asjaoludel isegi esitada vastuväiteid andmete töötlemise suhtes;
(26) kaitsmise põhimõtteid tuleb kohaldada igasuguse tuvastatud või tuvastatava isiku kohta käiva teabe suhtes; isiku tuvastatavuse kindlakstegemisel tuleb arvesse võtta kõiki vahendeid, mida volitatud töötleja või keegi muu võib andmesubjekti tuvastamiseks tõenäoliselt kasutada; kaitsmise põhimõtteid ei kohaldata teabe suhtes, mis on muudetud anonüümseks selliselt, et andmesubjekti ei ole enam võimalik tuvastada; […]
[…]
(41) igaühel peab olema võimalik kasutada õigust tutvuda teda käsitlevate töödeldavate andmetega, et kontrollida eelkõige andmete õigsust ja töötlemise seaduslikkust; […]“
4 Mõiste „isikuandmed“ on direktiivi artikli 2 punktis a määratletud kui „igasugune teave tuvastatud või tuvastatava füüsilise isiku (edaspidi „andmesubjekt“) kohta; tuvastatav isik on isik, keda saab otseselt või kaudselt tuvastada, eelkõige isikukoodi põhjal või ühe või mitme tema füüsilisele, füsioloogilisele, vaimsele, majanduslikule, kultuurilisele või sotsiaalsele identsusele omase joone põhjal“.
5 Direktiivi II peatüki I jaos „Põhimõtted andmete kvaliteedi kohta“ asuv artikkel 6 on sõnastatud järgmiselt:
„1. Liikmesriigid sätestavad selle, et:
a) isikuandmeid töödeldakse õiglaselt ja seaduslikult;
b) isikuandmeid kogutakse täpselt ja selgelt kindlaksmääratud ning õiguspärastel eesmärkidel ega töödelda hiljem viisil, mis on vastuolus kõnealuste eesmärkidega. Täiendavat töötlemist ajaloo, statistika või teadusega seotud eesmärkidel ei peeta vastuolus olevaks tingimusel, et liikmesriigid kannavad hoolt vajalike tagatiste eest;
c) isikuandmed on piisavad, asjakohased ega ületa selle otstarbe piire, mille tarvis neid kogutakse ja/või hiljem töödeldakse;
d) andmed on täpsed ja vajaduse korral ajakohastatud; võetakse kõik mõistlikud meetmed, et kustutada või parandada andmete kogumise või hilisema töötlemise eesmärgi seisukohast ebaõiged või mittetäielikud andmed;
e) isikuandmeid säilitatakse kujul, mis võimaldab andmesubjekte identifitseerida ainult seni, kuni see on vajalik seoses andmete kogumise või hilisema töötlemise eesmärkidega. Liikmesriigid kehtestavad vajalikud tagatised nende isikuandmete jaoks, mida säilitatakse pikema aja jooksul, et neid kasutada seoses ajaloo, statistika või teadusega.
2. Lõike 1 järgimise tagab vastutav töötleja.“
6 Direktiivi 95/46 II peatüki II jaos „Andmetöötluse seaduslikkuse kriteeriumid“ asuv artikkel 7 sätestab:
„Liikmesriigid sätestavad, et isikuandmeid võib töödelda ainult juhul, kui:
a) andmesubjekt on selleks andnud oma ühemõttelise nõusoleku
või
[…]
c) töötlemine on vajalik vastutava töötleja seadusjärgse kohustuse täitmiseks
või
[…]
e) töötlemine on vajalik üldiste huvidega seotud ülesande täitmiseks või sellise avaliku võimu teostamiseks, mis on tehtud ülesandeks [vastutavale] töötlejale või andmeid saavale kolmandale isikule
või
f) töötlemine on vajalik vastutava töötleja või andmeid saava kolmanda isiku või kolmandate isikute õigustatud huvide elluviimiseks, kui selliseid huve ei kaalu üles artikli 1 lõike 1 kohaselt kaitstavate andmesubjekti põhiõiguste ja -vabadustega seotud huvid.“
7 Direktiivi artiklis 12 „Õigus tutvuda andmetega“ on sätestatud:
„Liikmesriigid tagavad, et igal andmesubjektil on õigus nõuda vastutavalt töötlejalt:
a) mõistliku aja tagant, ilma piiranguteta ja ilma liigsete viivituste ja kulutusteta:
– kinnitust selle kohta, kas isikut ennast käsitlevaid andmeid töödeldakse, ja teavet vähemalt töötlemise eesmärkide, asjaomaste andmete liikide ja nende vastuvõtjate või vastuvõtjate kategooriate kohta, kellele andmed avalikustatakse,
– arusaadaval kujul teavet töödeldavate andmete ja nende allika kohta,
[…]
b) võimalust vastavalt vajadusele parandada, kustutada või sulgeda need andmed, mille töötlemine ei vasta käesoleva direktiivi sätetele, eelkõige seetõttu, et andmed on ebatäielikud või ebaõiged;
c) teatise saatmist kolmandatele isikutele, kellele andmed on avalikustatud, kõigi punkti b kohaste paranduste, kustutamiste või sulgemiste kohta, kui see ei ole võimatu või kui sellega ei kaasne ülemääraseid jõupingutusi.“
8 Direktiivi artikkel 13 „Erandid ja piirangud“ sätestab:
„1. Liikmesriigid võivad artikli 6 lõikes 1, artiklis 10, artikli 11 lõikes 1 ja artiklites 12 ja 21 sätestatud kohustuste ja õiguste ulatuse piiramiseks võtta vastu õigusakte, kui sellised piirangud on vajalikud, et kindlustada:
[…]
g) andmesubjekti kaitse või teiste isikute õiguste ja vabaduste kaitse.
[…]“
9 Direktiivi 95/46 artikkel 14 „Andmesubjektide õigus esitada vastuväiteid“ sätestab:
„Liikmesriigid annavad andmesubjektidele õiguse:
a) esitada alati konkreetse olukorraga seotud õigustatud ja veenvatel põhjustel vastuväiteid teda käsitlevate andmete töötlemise suhtes vähemalt artikli 7 punktides e ja f osutatud juhtudel, kui siseriiklikes õigusaktides ei ole sätestatud teisiti. Kui tegemist on õigustatud vastuväitega, ei tohi vastutav töötleja kõnealuseid andmeid edasi töödelda;
[…]“
10 Direktiivi artiklis 28 „Järelevalveasutus“ on sätestatud:
„1. Iga liikmesriik näeb ette ühe või mitu riigiasutust, et teostada järelevalvet tema territooriumil käesoleva direktiivi kohaselt vastuvõetud sätete kohaldamise üle.
[…]
3. Igal sellisel asutusel on eelkõige:
– uurimisvolitused, näiteks tutvuda töödeldavate andmetega ja koguda oma järelevalvekohustuse täitmiseks vajalikku teavet;
– tõhusad sekkumisvolitused, näiteks […] anda korraldus andmete sulgemiseks, kustutamiseks või hävitamiseks, keelata töötlemine ajutiselt või alaliselt […]
[…]
Kui järelevalveasutuse otsustega ei olda rahul, võib need edasi kaevata kohtusse.
4. Iga järelevalveasutus vaatab läbi kõigi isikute või kõnealuseid isikuid esindava ühenduse esitatud avaldused nende õiguste ja vabaduste kaitse kohta seoses isikuandmete töötlemisega. Andmesubjektile teatatakse kaebuse tagajärgedest.
[…]“
Määrus (EL) 2016/679
11 Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määrus (EL) 2016/679, füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46 kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT 2016, L 119, lk 1) kuulub määruse artikli 99 lõike 2 järgi kohaldamisele alates 25. maist 2018. Määruse artikli 94 lõikes 1 on sätestatud, et direktiiv 95/46 tunnistatakse alates nimetatud kuupäevast kehtetuks.
12 Määruse artiklis 15 „Andmesubjekti õigus tutvuda andmetega“ on sätestatud:
„1. Andmesubjektil on õigus saada vastutavalt töötlejalt kinnitust selle kohta, kas teda käsitlevaid isikuandmeid töödeldakse, ning sellisel juhul tutvuda isikuandmetega […]
[…]
3. Vastutav töötleja esitab töödeldavate isikuandmete koopia. […]
4. Lõikes 3 osutatud koopia saamise õigus ei kahjusta teiste isikute õigusi ja vabadusi.“
13 Määruse 2016/679 artiklis 23 „Piirangud“ on sätestatud:
„1. Vastutava töötleja või volitatud töötleja suhtes kohaldatavas liidu või liikmesriigi õiguses võib seadusandliku meetmega piirata artiklites 12–22 […] sätestatud kohustuste ja õiguste ulatust, kui selline piirang austab põhiõiguste ja -vabaduste olemust ning on demokraatlikus ühiskonnas vajalik ja proportsionaalne meede, et tagada:
[…]
e) liidu või liikmesriigi muud üldist avalikku huvi pakkuvad olulised eesmärgid, eelkõige liidu või liikmesriigi oluline majanduslik või finantshuvi, sealhulgas rahandus-, eelarve- ja maksuküsimused, rahvatervis ja sotsiaalkindlustus;
[…]
i) andmesubjekti kaitse või teiste isikute õiguste ja vabaduste kaitse;
[…]“
Iiri õigus
14 Data Protection Act 1988 (1988. aasta andmekaitseseadus), muudetud seadusega Data Protection (Amendment) Act 2003 (2003. aasta seadus andmekaitseseaduse muutmise kohta) (edaspidi „andmekaitseseadus“) on kantud eesmärgist direktiiv 95/46 Iiri õiguskorda üle võtta. Selle seaduse artikli 1 lõikes 1 on mõiste „isikuandmed“ defineeritud järgmiselt:
„isikuandmed – andmed elava inimese kohta, kelle tuvastamiseks kasutatakse või saab kasutada neid andmeid või andmeid koos muu teabega, mis on andmetöötleja käsutuses või tõenäoliselt jõuab sinna.“
15 Andmetega tutvumise õigust reguleerib andmekaitseseaduse artikkel 4, mille lõige 6, mis käsitleb konkreetselt eksamitulemustega tutvumise taotlusi, on sõnastatud järgmiselt:
„a) Taotlust, mille isik on esitanud käesoleva paragrahvi lõike 1 alusel seoses niisuguse eksami tulemustega, millel teda eksamineeriti, peetakse käesoleva paragrahvi kohaldamisel esitatuks:
i) selle eksami tulemuste esmakordse avaldamise kuupäeval, või
ii) taotluse esitamise kuupäeval,
olenevalt sellest, kumb kuupäev on hilisem; […]
b) Käesoleva lõike mõistes on „eksam“ menetlus isiku teadmiste, intelligentsuse, oskuste või suutlikkuse kindlakstegemiseks selle põhjal, milliste tulemustega ta sooritab katse, töö või muu toimingu.“
16 Andmekaitseseaduse artiklis 6 on nähtud ette õigus parandada ja kustutada isikuandmed, mille töötlemine ei ole selle seadusega kooskõlas.
17 Andmekaitseseaduse artikli 10 lõike 1 punkti b alapunkt i kohustab andmekaitsevolinikku kaebust läbi vaatama juhul, „kui ta ei ole arvamusel, et see on alusetu või pahatahtlik“.
Põhikohtuasi ja eelotsuse küsimused
18 P. Nowak sooritas raamatupidamise praktikandina (Trainee Accountant) edukalt raamatupidamise esimese taseme eksamid ning kolm teise taseme eksamit, mida korraldas Institute of Chartered Accountants of Ireland (Iirimaa raamatupidamisekspertide instituut; edaspidi „raamatupidamisekspertide instituut“). Paraku kukkus P. Nowak läbi strateegilise finantsraamatupidamise ja juhtimisarvestuse eksamil, kus võis kasutada teatmeteoseid jms materjale (avatud materjalidega eksam).
19 Pärast neljandat läbikukkumist kõnealusel eksamil, sügisel 2009, esitas P. Nowak esmalt kaebuse, et eksamitulemus vaidlustada. Kui kaebus oli 2010. aasta märtsis rahuldamata jäetud, esitas ta 2010. aasta mais andmekaitseseaduse artikli 4 alusel andmetega tutvumise taotluse, taotledes raamatupidamisekspertide instituudil olevate kõikide teda puudutavate isikuandmetega tutvumist.
20 Raamatupidamisekspertide instituut edastas P. Nowakile 1. juuni 2010. aasta kirjaga 17 dokumenti, aga keeldus edastamast eksamitöö koopiat, väites, et see ei sisalda andmekaitseseaduse mõttes isikuandmeid.
21 P. Nowak pöördus seejärel andmekaitsevoliniku poole, et vaidlustada selle põhistuse paikapidavus, mille alusel oli keeldutud talle eksamitöö koopia saatmisest. 2010. aasta juunis vastas andmekaitsevolinik e‑kirjaga, märkides muu hulgas, et „üldiselt eksamitöid [andmekaitse kontekstis] läbi ei vaadata, sest üldiselt ei kujuta need dokumendid endast isikuandmeid“.
22 Andmekaitsevoliniku sellisele vastusele järgnes P. Nowaki ja voliniku vaheline kirjavahetus, mis lõppes 1. juulil 2010 sellega, et P. Nowak esitas ametliku kaebuse.
23 Andmekaitsevolinik teatas P. Nowakile 21. juuli 2010. aasta kirjas, et olles toimiku läbi vaadanud, ei tuvastanud ta andmekaitseseaduse materiaalõigusnormide rikkumist, ning et kooskõlas selle seaduse artikli 10 lõike 1 punkti b alapunktiga i, mis käsitleb alusetuid või pahatahtlikke kaebusi, oli ta otsustanud kõnesolevat kaebust mitte läbi vaadata. Kirjas oli muu hulgas märgitud, et dokumendid, mille suhtes P. Nowak püüab kasutada „andmete parandamise õigust“, „ei kujuta endast isikuandmeid, mille suhtes kohalduks isikuandmete kaitse seaduse artikkel 6“.
24 P. Nowak kaebas selle otsuse edasi Circuit Courti (piirkondlik kohus, Iirimaa). See kohus pidas kaebust vastuvõetamatuks, sest kuivõrd andmekaitsevolinik oli jätnud kaebuse läbi vaatamata, puudus vaidlustatav otsus. Teise võimalusena otsustas see kohus, et kaebus on põhjendamatu, sest eksamitöö ei kujuta endast isikuandmeid.
25 P. Nowak kaebas nimetatud kohtu otsuse edasi High Courti (Iirimaa kõrge kohus), kes jättis vaidlustatud kohtuotsuse jõusse. High Courti (kõrge kohtu) otsuse jättis omakorda jõusse Court of Appeal (Iirimaa apellatsioonikohus). Supreme Court (Iirimaa kõrgeim kohus), kes andis Court of Appeali (apellatsioonikohus) otsuse peale esitatud edasikaebusele menetlusloa, leidis, et kaebus, mille P. Nowak oli andmekaitsevoliniku otsuse peale esitanud, oli vastuvõetav.
26 Supreme Courtil (kõrgeim kohus) on sellegipoolest kahtlusi, kas eksamitöö võib kujutada endast isikuandmeid direktiivi 95/46 mõistes, mistõttu ta otsustas kohtuasjas menetluse peatada ja esitada Euroopa Kohtule järgmised eelotsuse küsimused:
„1. Kas kutsealasel eksamil eksaminandi vastustes/vastustena jäädvustatud teave saab kujutada endast direktiivi 95/46 tähenduses isikuandmeid?
2. Kui vastus esimesele küsimusele on selline, et niisugune teave võib tervikuna või osaliselt kujutada endast direktiivi 95/46 tähenduses isikuandmeid, siis millised tegurid on olulised selle tuvastamisel, kas niisugune eksamitöö kujutab endast ühel või teisel juhul isikuandmeid, ja milline kaal tuleb nendele teguritele omistada?“
Eelotsuse küsimuste analüüs
27 Eelotsuse küsimustega, mida tuleb käsitleda koos, palub eelotsusetaotluse esitanud kohus sisuliselt selgitada, kas direktiivi 95/46 artikli 2 punkti a tuleb tõlgendada nii, et niisugustel asjaoludel, nagu põhikohtuasjas, kujutavad eksaminandi poolt kutsealasel eksamil antud vastused, ja võimalikud märkused, mille eksamineerija on neile lisanud, endast selle sätte mõttes isikuandmeid.
28 Sellega seoses tuleb meelde tuletada, et direktiivi 95/46 artikli 2 punktis a on isikuandmed määratletud kui „igasugune teave tuvastatud või tuvastatava füüsilise isiku […] kohta“. Sama sätte kohaselt on „tuvastatav isik […] isik, keda saab otseselt või kaudselt tuvastada, eelkõige isikukoodi põhjal või ühe või mitme tema füüsilisele, füsioloogilisele, vaimsele, majanduslikule, kultuurilisele või sotsiaalsele identsusele omase joone põhjal.“
29 On selge, et kutsealasel eksamil osalev eksaminand on füüsiline isik, keda on võimalik tuvastada kas otseselt: nime alusel või kaudselt: eksamitööle või selle pealdislehele kantud identifitseerimisnumbri järgi.
30 Vastupidi andmekaitsevoliniku väidetule ei oma kõnesolevas olukorras tähtsust küsimus, kas eksmineerijal on võimalik eksaminand tema eksamitöö parandamise ja hindamise ajal tuvastada või mitte.
31 Selleks, et andmeid saaks kvalifitseerida „isikuandmeteks“ direktiivi 95/46 artikli 2 punkti a tähenduses, ei ole nõutud, et kõik isikut tuvastada võimaldavad andmed oleksid ühe isiku valduses (kohtuotsus, 19.10.2016, Breyer, C‑582/14, EU:C:2016:779, punkt 43). Lisaks ei ole vaidlust selles, et olukorras, kus eksamineerijale ei ole eksaminandi isik tema eksamitöö vastuste hindamise ajal teada, valdab eksamit korraldav üksus, praegusel juhtumil raamatupidamisekspertide instituut, siiski vajalikku infot, mis võimaldab tal raskusteta ja kõhklusteta eksaminandi tuvastada, lähtudes tema eksamitööle või selle pealdislehele kantud identifitseerimisnumbrist, ja seega teada saada, et see oli just see eksaminand, kes vastavad vastused andis.
32 Tuleb siiski kindlaks teha, kas kirjalikud vastused, mille eksaminand kutsealasel eksamil andis, ja võimalikud märkused, mille eksamineerija sinna juurde kirjutas, kujutavad endast selle eksaminandi kohta käivat teavet direktiivi 95/46 artikli 2 punkti a mõttes.
33 Nagu Euroopa Kohus on juba tuvastanud, on direktiivi 95/46 kohaldamisala väga lai ja selles on käsitletud mitmesuguseid isikuandmeid (kohtuotsus, 7.5.2009, Rijkeboer, C‑553/07, EU:C:2009:293, punkt 59, ja seal viidatud kohtupraktika).
34 Nimelt viitab väljendi „igasugune teave“ kasutamine direktiivi 95/46 artikli 2 punktis a sisalduva mõiste „isikuandmed“ määratluses sellele, et liidu seadusandja eesmärk oli anda kõnealusele mõistele lai tähendusväli, mis ei ole piiratud tundliku või eraelulise teabega, vaid hõlmab potentsiaalselt igasugust, nii objektiivset kui ka subjektiivset teavet arvamuste või hinnangute vormis, tingimusel, et need „puudutavad“ kõnealust isikut.
35 Mis puudutab viimati nimetatud tingimust, siis on see täidetud, kui teave on tema sisu, eesmärki või toimet arvestades seotud ühe konkreetse inimesega.
36 Nagu sisuliselt väitsid P. Nowak, Tšehhi, Kreeka, Ungari, Austria, Portugali valitsus ja Euroopa Komisjon, kujutavad kirjalikud vastused, mille eksaminand kutsealasel eksamil andis, endast niisugust tema isikuga seotud teavet.
37 Esmalt peegeldab vastuste sisu eksaminandi teadmiste ja oskuste taset konkreetses valdkonnas ning vajaduse korral ka tema arutlusoskusi, analüüsi- ja kriitilise mõtlemise võimet. Kui eksamitöö on käsitsi kirjutatud, sisaldavad vastused lisaks veel ka teavet eksaminandi käekirja kohta.
38 Lisaks on nende vastuste kogumise eesmärk hinnata eksaminandi kutsealaseid võimeid ja tema võimekust vastaval alal tegutseda.
39 Eelkõige eksaminandi eksamil õnnestumist või ebaõnnestumist kajastava teabe kasutamine võib avaldada mõju eksaminandi õigustele ja huvidele, sest see võib otsustada või mõjutada näiteks isiku võimalust vastaval kutsealal tegutsema asuda või saada taotletud ametikoht.
40 Tõdemus, et kirjalikud vastused, mille eksaminand kutsealasel eksamil annab, kujutavad endast eksaminandi puudutavat teavet, tulenevalt nende sisust, eesmärgist ja toimest, kehtib muu hulgas samuti juhtumil, kui tegemist on avatud materjalidega eksamiga, nagu kõnesoleval juhtumil.
41 Nimelt, nagu kohtujurist oma ettepaneku punktis 24 märkis, on eksami eesmärk kindlaks teha ja dokumenteerida konkreetse isiku, nimelt eksaminandi individuaalne sooritus, mitte saada isikust sõltumatut teavet – eesmärk, millest võib olla kantud representatiivne uurimus.
42 Mis puudutab eksamineerija märkusi eksaminandi vastuste kohta, siis olgu märgitud, et need kujutavad endast sarnaselt eksaminandi poolt eksami kestel antud vastustega teavet, mis käsitleb vastavat eksaminandi.
43 Nende märkuste sisu peegeldab eksamineerija arvamust või hinnangut eksaminandi individuaalsele sooritusele eksamil ja eelkõige tema teadmistele ja oskustele asjassepuutuvas valdkonnas. Nende märkuste eesmärk ongi nimelt dokumenteerida eksamineerija hinnang eksaminandi sooritusele ja need võivad avaldada eksaminandile mõju, nagu on märgitud käesoleva kohtuotsuse punktis 39.
44 Tõdemust, et eksamineerija märkused eksaminandi poolt eksamil antud vastuste kohta kujutavad endast teavet, mis sisust, eesmärgist ja toimest tulenevalt puudutab vastavat eksaminandi, ei sea kahtluse alla tõik, et need märkused on ka eksamineerijat puudutav teave.
45 Nimelt võib üks ja seesama teave puudutada erinevaid füüsilisi isikuid ja kujutada endast nende jaoks, tingimusel, et need isikud on tuvastatud või tuvastatavad, isikuandmeid direktiivi 95/46 artikli 2 punkti a tähenduses.
46 Lisaks, vastupidi andmekaitsevoliniku ja Iiri valitsuse väidetule, ei mõjuta eksaminandi poolt kutsealasel eksamil antud kirjalike vastuste ja neid vastuseid käsitlevate eksamineerija võimalike märkuste kvalifitseerimist isikuandmeteks tõik, et niisuguselt kvalifitseerimine annab eksaminandile sisuliselt õiguse tutvuda andmetega ja neid parandada direktiivi 95/46 artikli 12 punktide a ja b mõttes.
47 Selle kohta olgu esmalt meenutatud, et nagu komisjon kohtuistungil märkis, on mitmed direktiivis 95/46 ette nähtud põhimõtted ja tagatised isikuandmeteks kvalifitseerimisega seotud ja sõltuvad sellest.
48 Nimelt tuleneb direktiivi 95/46 põhjendusest 25, et direktiivis ette nähtud kaitsmise põhimõtted peavad kajastuma ühest küljest töötlemise eest vastutavate isikute suhtes kehtestatud kohustustes, eelkõige seoses andmete kvaliteedi, tehnilise turvalisuse, järelevalveasutustele teatamise ja andmete töötlemise asjaoludega, ning teisest küljest õigustes, mis on antud üksikisikule, kelle andmeid töödeldakse, ja mille kohaselt tuleb talle töötlemisest teatada, võimaldada tal andmetega tutvuda ja nõuda andmete korrigeerimist ning teatavatel asjaoludel isegi esitada vastuväiteid andmete töötlemise suhtes.
49 Kui keelata eksaminandi poolt kutsealasel eksamil antud kirjalike vastuste ja neid vastuseid käsitlevate eksamineerija märkuste kvalifitseerimine „isikuandmeteks“, tooks see kaasa olukorra, kus vastav teave jääb täielikult välja isikuandmete kaitse valdkonna järgmiste põhimõtete ja tagatiste kaitsealast: eelkõige direktiivi 95/46 artiklites 6 ja 7 sätestatud nende andmete kvaliteeti ja töötlemise seaduslikkust käsitlevad põhimõtted, sama direktiivi artiklites 12 ja 14 andmesubjektile ette nähtud õigus tutvuda andmetega ja õigus andmeid parandada ning õigus esitada vastuväiteid ja kontroll, mida järelevalveasutus direktiivi artikli 28 kohaselt teostab.
50 Nagu kohtujurist oma ettepaneku punktis 26 märgib, on selge, et eksaminandil on muu hulgas eraelu puutumatuse kaitsele tuginev õigustatud huvi esitada vastuväiteid sellele, et vastuseid, mida ta eksamil andis ja eksamineerija märkusi nende vastuste kohta töödeldaks väljaspool eksamimenetlust, ja iseäranis sellele, kui tema töö edastatakse tema nõusolekuta kolmandatele isikutele või lausa avaldatakse. Samuti on eksamit korraldav üksus vastutava andmetöötlejana kohustatud tagama, et vastused ja nende kohta käivad märkused säilitatakse nii, et välditakse olukorda, kus kolmas isik saaks nendega õigusvastaselt tutvuda.
51 Järgmiseks tuleb märkida, et õigus tutvuda andmetega ja õigus andmeid parandada, mis on ette nähtud direktiivi 95/46 artikli 12 punktides a ja b, võivad samuti olla õigustatud seoses kirjalike vastustega, mida eksaminand kutsealasel eksamil andis, ja seoses eksamineerija võimalike märkustega nende vastuste kohta.
52 Direktiivi 95/46 artikli 12 punktis b ette nähtud õigus andmeid parandada ei tohi loomulikult võimaldada eksaminandil tagantjärele „valesid“ vastuseid „parandada“.
53 Nimelt tuleneb direktiivi 95/46 artikli 6 lõike 1 punktist d, et isikuandmete täpsust ja täielikkust tuleb hinnata lähtuvalt andmete kogumise eesmärgist. Mis puudutab eksaminandi vastuseid eksamil, siis on see eesmärk hinnata eksaminandi teadmiste ja oskuste taset eksami päeva seisuga. Võimalikud vead neis vastustes aga kajastavadki just seda taset. Seega ei kujuta vead endast direktiivi 95/46 mõttes ebatäpsust, mis annaks õiguse andmete parandamisele direktiivi artikli 12 punkti b alusel.
54 Seevastu on võimalik, et tekib olukordi, kus vastused, mida eksaminand eksamil andis ja eksamineerija märkused nende vastuste kohta osutuvad direktiivi 95/46 artikli 6 lõike 1 punkti d tähenduses ebatäpseteks näiteks seepärast, et vea tõttu läksid eksamitööd vahetusse, nii et mõne teise eksaminandi vastuseid peeti puudutatud eksaminandi omadeks või seepärast, et üks osa eksaminandi vastuste lehti läksid kaduma, nii et hinnatud vastused ei ole täielikud või siis ka seetõttu, et eksamineerija võimalikud märkused ei dokumenteeri korrektselt hinnangut, mille ta puudutatud eksaminandi vastustele andis.
55 Lisaks, nagu kohtujurist oma ettepaneku punktis 37 märkis, ei saa välistada, et eksaminandil on direktiivi 95/46 artikli 12 punkti b alusel õigus nõuda andmete vastutavalt töötlejalt, et tema poolt eksamil antud vastused ja eksamineerija nende kohta tehtud märkused pärast teatava ajavahemiku möödumist kustutatakse, see tähendab hävitatakse. Direktiivi artikli 6 lõike 1 punkti e järgi võib isikuandmeid kujul, mis võimaldab andmesubjekte tuvastada, säilitada ainult seni, kuni see on vajalik seoses andmete kogumise või hilisema töötlemise eesmärkidega. Arvestades, milline eesmärk on vastustel, mida eksaminand eksamil andis ja eksamineerija märkustel nende vastuste kohta, ei tundu nende säilitamine eksaminandi isiku tuvastamist võimaldavas vormis a priori enam vajalik alates hetkest, mil eksamimenetlus on lõppenud ja selle tulemusi ei saa enam edasi kaevata, nii et need vastused ja märkused on kaotanud igasuguse tõendusliku väärtuse.
56 Niivõrd, kuivõrd eksaminandi kirjalikke vastuseid kutsealasel eksamil ja eksamineerija võimalikke märkusi nende kohta võidakse direktiivi 95/46 artikli 6 lõike 1 punktide d ja e mõttes eriti täpsuse ja säilitamisvajaduse seisukohast kontrollida, ning osas, milles neid võidakse direktiivi artikli 12 punkti b alusel parandada või kustutada, tuleb asuda seisukohale, et asjaolu, et eksaminandile antakse direktiivi artikli 12 punkti a alusel õigus vastuste ja märkustega tutvuda, on kantud eesmärgist tagada, et eksaminandi õigus eraelu puutumatusele on teda puudutavaid andmeid käsitlevas osas kaitstud (vt a contrario, kohtuotsus, 17.7.2014, YS jt, C‑141/12 ja C‑372/12, EU:C:2014:2081, punktid 45‑46), ja seda sõltumata küsimusest, kas eksaminandil on selline andmetega tutvumise õigus ka vastavalt eksamimenetluse suhtes kohaldatavale riigisisesele õigusele.
57 Niisuguses kontekstis olgu meenutatud, et põhiõiguse eraelu puutumatusele kaitse eeldab eelkõige, et iga füüsiline isik saab veenduda, et tema isikuandmed on õiged ja neid töödeldakse seaduslikult. Nagu direktiivi 95/46 põhjenduses 41 on sätestatud, on andmesubjektil direktiivi artikli 12 punkti a alusel vajaliku kontrolli teostamiseks õigus tutvuda teda käsitlevate töödeldavate andmetega. Kõnealune õigus tutvuda andmetega on vajalik eelkõige selleks, et võimaldada andmesubjektil vajaduse korral nõuda, et töötlemise eest vastutav isik parandaks, kustutaks või sulgeks need andmed, ja seega kasutada selle direktiivi artikli 12 punktis b sätestatud õigust (kohtuotsus, 17.7.2014, YS jt, C‑141/12 ja C‑372/12, EU:C:2014:2081, punkt 44 ja seal viidatud kohtupraktika).
58 Lõpuks tuleb ühelt poolt tõdeda, et direktiivi 95/46 artikli 12 punktidest a ja b tulenevad õigused andmetega tutvuda ja neid parandada ei laiene eksamiküsimustele, sest need ei kujuta sellisena endast eksaminandi isikuandmeid.
59 Teisest küljest on nii direktiivis 95/46 kui ka seda asendavas määruses 2016/679 sätestatud neile õigustele mõned piirangud.
60 Nii võivad liikmesriigid direktiivi 95/46 artikli 13 lõike 1 punkti g järgi võtta muu hulgas artikli 6 lõikes 1 ja artiklis 12 sätestatud kohustuste ja õiguste ulatuse piiramiseks vastu õigusakte, kui sellised piirangud on vajalikud, et kindlustada teiste isikute õiguste ja vabaduste kaitse.
61 Määruse 2016/679 artikli 23 lõike 1 punktis e on laiendatud praegu direktiivi 95/46 artikli 13 lõikes 1 sätestatud piiramise aluste loetelu „liidu või liikmesriigi muud üldist avalikku huvi pakkuvate oluliste eesmärkidega“. Lisaks on määruse 2016/679 artikli 15 lõikes 4 – artikkel käsitleb andmesubjekti õigust tutvuda andmetega – nähtud ette, et isikuandmete koopia saamise õigus ei või kahjustada teiste isikute õigusi ja vabadusi.
62 Arvestades kõiki eelnevalt esitatud kaalutlusi, tuleb vastata esitatud küsimustele, et direktiivi 95/46 artikli 2 punkti a tuleb tõlgendada nii, et niisugustel asjaoludel, nagu põhikohtuasjas, kujutavad eksaminandi poolt kutsealasel eksamil antud kirjalikud vastused, ja võimalikud märkused, mille eksamineerija on neile lisanud, endast selle sätte mõttes isikuandmeid.
Kohtukulud
63 Kuna põhikohtuasja poolte jaoks on käesolev menetlus eelotsusetaotluse esitanud kohtus pooleli oleva asja üks staadium, otsustab kohtukulude jaotuse liikmesriigi kohus. Euroopa Kohtule seisukohtade esitamisega seotud kulusid, välja arvatud poolte kohtukulud, ei hüvitata.
Esitatud põhjendustest lähtudes Euroopa Kohus (teine koda) otsustab:
Euroopa Parlamendi ja nõukogu 24. oktoobri 1995. aasta direktiivi 95/46/EÜ üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta artikli 2 punkti a tuleb tõlgendada nii, et niisugustel asjaoludel, nagu põhikohtuasjas, kujutavad eksaminandi poolt kutsealasel eksamil antud kirjalikud vastused, ja võimalikud märkused, mille eksamineerija on neile lisanud, endast selle sätte mõttes isikuandmeid.
Allkirjad