UNIONIN TUOMIOISTUIMEN TUOMIO (ensimmäinen jaosto)
12 päivänä tammikuuta 2023 (*)
Ennakkoratkaisupyyntö – Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus (EU) 2016/679 – 77–79 artikla – Oikeussuojakeinot – Rinnakkainen käyttäminen – Oikeussuojakeinojen nivoutuminen yhteen – Menettelyllinen itsemääräämisoikeus – Kyseisessä asetuksessa vahvistettujen suojaa koskevien sääntöjen tehokkuus – Näiden sääntöjen johdonmukainen ja yhtenäinen soveltaminen koko Euroopan unionissa – Euroopan unionin perusoikeuskirjan 47 artikla
Asiassa C‑132/21,
jossa on kyse SEUT 267 artiklaan perustuvasta ennakkoratkaisupyynnöstä, jonka Fővárosi Törvényszék (Budapestin alioikeus, Unkari) on esittänyt 2.3.2021 tekemällään päätöksellä, joka on saapunut unionin tuomioistuimeen 3.3.2021, saadakseen ennakkoratkaisun asiassa
BE
vastaan
Nemzeti Adatvédelmi és Információszabadság Hatóság,
jossa asian käsittelyyn osallistuu
Budapesti Elektromos Művek Zrt.,
UNIONIN TUOMIOISTUIN (ensimmäinen jaosto),
toimien kokoonpanossa: jaoston puheenjohtaja A. Arabadjiev, varapresidentti L. Bay Larsen, joka hoitaa ensimmäisen jaoston tuomarin tehtäviä, sekä tuomarit P. G. Xuereb, A. Kumin ja I. Ziemele (esittelevä tuomari),
julkisasiamies: J. Richard de la Tour,
kirjaaja: hallintovirkamies I. Illéssy,
ottaen huomioon kirjallisessa käsittelyssä ja 11.5.2022 pidetyssä istunnossa esitetyn,
ottaen huomioon huomautukset, jotka sille ovat esittäneet
– BE, edustajanaan I. Kulcsár, ügyvéd,
– Nemzeti Adatvédelmi és Információszabadság Hatóság, edustajinaan G. Barabás, jogtanácsos, G. J. Dudás ja Á. Hargita, ügyvédek,
– Unkarin hallitus, asiamiehinään Zs. Biró‑Tóth ja M. Z. Fehér,
– Tšekin hallitus, asiamiehinään O. Serdula, M. Smolek ja J. Vláčil,
– Italian hallitus, asiamiehenään G. Palmieri, avustajinaan E. De Bonis ja M. F. Severi, avvocati dello Stato,
– Puolan hallitus, asiamiehinään B. Majczyna ja J. Sawicka,
– Euroopan komissio, asiamiehinään H. Kranenborg, Zs. Teleki ja P. J. O. Van Nuffel,
kuultuaan julkisasiamiehen 8.9.2022 pidetyssä istunnossa esittämän ratkaisuehdotuksen,
on antanut seuraavan
tuomion
1 Ennakkoratkaisupyyntö koskee luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja‑asetus) (EUVL 2016, L 119, s. 1) 77 artiklan 1 kohdan, 78 artiklan 1 kohdan ja 79 artiklan 1 kohdan tulkintaa.
2 Tämä pyyntö on esitetty asiassa, jonka vastakkain ovat BE ja Nemzeti Adatvédelmi és Információszabadság Hatóság (tietosuojasta ja tiedonvälityksen vapaudesta vastaava kansallinen viranomainen, Unkari; jäljempänä valvontaviranomainen) ja jossa on kyse siitä, että BE:n pyyntö saada otteita sellaisesta yhtiökokouksesta tehdystä äänitteestä, johon BE on osallistunut, on hylätty.
Asiaa koskevat oikeussäännöt
Unionin oikeus
3 Asetuksen 2016/679 johdanto‑osan 10, 11, 141 ja 143 perustelukappaleessa todetaan seuraavaa:
”(10) Jotta voitaisiin varmistaa yhdenmukainen ja korkeatasoinen luonnollisten henkilöiden suojelu ja poistaa henkilötietojen liikkuvuuden esteet [Euroopan] unionissa, luonnollisten henkilöiden oikeuksien ja vapauksien suojelun tason näiden tietojen käsittelyssä olisi oltava vastaava kaikissa jäsenvaltioissa. Luonnollisten henkilöiden perusoikeuksien ja ‑vapauksien suojelua henkilötietojen käsittelyssä koskevien sääntöjen johdonmukainen ja yhtenäinen soveltaminen olisi varmistettava kaikkialla unionissa. – –
(11) Henkilötietojen suojaaminen tehokkaasti kaikkialla unionissa edellyttää rekisteröityjen oikeuksien sekä henkilötietoja käsittelevien ja henkilötietojen käsittelyä määrittävien velvollisuuksien vahvistamista ja täsmentämistä – –
– –
(141) Jokaisella rekisteröidyllä olisi oltava oikeus tehdä kantelu yhdelle valvontaviranomaiselle, erityisesti asuinjäsenvaltiossaan, sekä oikeus turvautua tehokkaisiin oikeussuojakeinoihin [Euroopan unionin] perusoikeuskirjan 47 artiklan mukaisesti, jos rekisteröity katsoo, että hänen tähän asetukseen perustuvia oikeuksiaan on loukattu tai jos valvontaviranomainen ei käsittele kantelua, hylkää sen kokonaan tai osittain tai ei ryhdy toimiin, jotka ovat tarpeen rekisteröidyn oikeuksien suojaamiseksi. – –
– –
(143) – – Jokaisella luonnollisella henkilöllä tai oikeushenkilöllä olisi oltava oikeus tehokkaisiin oikeussuojakeinoihin toimivaltaisessa kansallisessa tuomioistuimessa sellaista valvontaviranomaisen päätöstä vastaan, joka tuottaa kyseistä henkilöä koskevia oikeusvaikutuksia – – Kanne valvontaviranomaista vastaan olisi nostettava sen jäsenvaltion tuomioistuimissa, johon valvontaviranomainen on sijoittautunut, ja se olisi toteutettava kyseisen jäsenvaltion prosessioikeuden mukaisesti. Kyseisten tuomioistuinten olisi käytettävä täyttä oikeudellista toimivaltaa, mukaan lukien toimivalta tarkastella kaikkia tosiseikkoja koskevia ja oikeudellisia kysymyksiä, jotka ovat niiden käsiteltäväksi saatetun asian kannalta merkittäviä.”
4 Kyseisen asetuksen 60–63 artiklassa säädetään jäsenvaltioiden valvontaviranomaisten välisistä yhteistyötä, keskinäistä avunantoa ja yhdenmukaisuutta koskevista mekanismeista.
5 Mainitun asetuksen 77 artiklan 1 kohdassa säädetään seuraavaa:
”Jokaisella rekisteröidyllä on oikeus tehdä kantelu valvontaviranomaiselle, erityisesti siinä jäsenvaltiossa, jossa hänen vakinainen asuinpaikkansa tai työpaikkansa on taikka jossa väitetty rikkominen on tapahtunut, jos rekisteröity katsoo, että häntä koskevien henkilötietojen käsittelyssä rikotaan tätä asetusta, sanotun kuitenkaan rajoittamatta muita hallinnollisia muutoksenhakukeinoja tai oikeussuojakeinoja.”
6 Kyseisen asetuksen 78 artiklan 1 kohdassa säädetään seuraavaa:
”Jokaisella luonnollisella henkilöllä tai oikeushenkilöllä on oikeus tehokkaisiin oikeussuojakeinoihin itseään koskevaa valvontaviranomaisen oikeudellisesti sitovaa päätöstä vastaan, sanotun kuitenkaan rajoittamatta muita hallinnollisia muutoksenhakukeinoja tai muita kuin oikeudellisia oikeussuojakeinoja.”
7 Asetuksen 2016/679 79 artiklan 1 kohdassa säädetään seuraavaa:
”Jokaisella rekisteröidyllä on oikeus tehokkaisiin oikeussuojakeinoihin, jos hän katsoo, että hänen tähän asetukseen perustuvia oikeuksiaan on loukattu sen takia, ettei hänen henkilötietojensa käsittelyssä ole noudatettu tätä asetusta, sanotun kuitenkaan rajoittamatta käytettävissä olevien hallinnollisten muutoksenhakukeinojen tai muiden kuin oikeudellisten oikeussuojakeinojen käyttöä, mukaan lukien 77 artiklaan perustuva oikeus tehdä kantelu valvontaviranomaiselle.”
8 Kyseisen asetuksen 81 artiklassa, jonka otsikko on ”Menettelyn keskeyttäminen”, säädetään seuraavaa:
”1. Jos jäsenvaltion toimivaltaisella tuomioistuimella on tietoa saman rekisterinpitäjän tai henkilötietojen käsittelijän käsittelytoimintoihin liittyvän samaa asiaa koskevan menettelyn vireillä olosta jonkin toisen jäsenvaltion tuomioistuimessa, sen on otettava yhteyttä tuohon toisen jäsenvaltion tuomioistuimeen varmistaakseen tällaisen menettelyn olemassaolon.
2. Jos saman rekisterinpitäjän tai henkilötietojen käsittelijän käsittelytoimintoihin liittyvä samaa asiaa koskeva menettely on vireillä jonkin toisen jäsenvaltion tuomioistuimessa, muut toimivaltaiset tuomioistuimet kuin se, jossa menettely on ensin pantu vireille, voivat keskeyttää menettelynsä.
3. Jos menettely on vireillä ensimmäisessä oikeusasteessa, muut tuomioistuimet kuin se, jossa menettely on pantu ensin vireille, voivat jonkin asianosaisen pyynnöstä myös jättää asian tutkimatta, jos tuomioistuin, jossa menettely on ensin pantu vireille, on toimivaltainen käsittelemään kyseessä olevat asiat, ja jos niiden yhdistäminen on tämän tuomioistuimen lain mukaan sallittua.”
Unkarin oikeus
9 Henkilötietoihin liittyvästä määräämisoikeudesta ja tiedonvälityksen vapaudesta vuonna 2011 annetun lain nro CXII (az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény), sellaisena kuin sitä sovelletaan pääasiassa, 22 §:ssä säädetään seuraavaa:
”Oikeuksiensa turvaamiseksi rekisteröity voi VI luvun mukaisesti:
a) saattaa rekisterinpitäjän toimenpiteen lainmukaisuuden [valvontaviranomaisen] käsiteltäväksi, jos rekisterinpitäjä on rajoittanut kyseisen henkilön 14 §:ssä säädettyjen oikeuksien käyttämistä tai hylännyt hänen vaatimuksensa näiden käyttämiseksi, sekä
b) vaatia [valvontaviranomaista] toimittamaan hallinnollisen tietosuojamenettelyn katsoessaan, että rekisterinpitäjä tai sen valtuuttama tai sen määräysten nojalla toimiva tietojen käsittelijä ei ole tietoja käsitellessään noudattanut henkilötietojen käsittelyä koskevissa kansallisissa oikeussäännöissä tai sitovissa Euroopan unionin oikeussäännöissä vahvistettuja vaatimuksia.”
10 Vuonna 2011 annetun lain nro CXII, sellaisena kuin sitä sovelletaan pääasiassa, 23 §:ssä säädetään seuraavaa:
”1. Rekisteröity voi saattaa rekisterinpitäjää tai tietojen käsittelijää vastaan vireille menettelyn tuomioistuimessa tämän suorittaman käsittelytoimenpiteen osalta katsoessaan, että rekisterinpitäjä tai sen valtuuttama tai sen määräysten nojalla toimiva tietojen käsittelijä käsittelee henkilötietoja tätä koskevissa kansallisissa oikeussäännöissä tai sitovissa Euroopan unionin oikeussäännöissä vahvistettujen vaatimusten vastaisesti.
– –
4. Menettelyyn tuomioistuimessa voi osallistua myös taho, jolla ei muuten ole asianosaiskelpoisuutta. [Valvontaviranomainen] voi osallistua asian käsittelyyn tukeakseen rekisteröidyn vaatimuksia.
5. Jos tuomioistuin hyväksyy kanteen, se toteaa oikeudenloukkauksen ja velvoittaa rekisterinpitäjän tai henkilötietojen käsittelijän
(a) lopettamaan sääntöjenvastaisen tietojenkäsittelytoimenpiteen
(b) korjaamaan tietojenkäsittelyssä tapahtuneen sääntöjenvastaisuuden ja
(c) toimimaan yksilöimällään tavalla rekisteröidyn oikeuksien toteuttamiseksi,
ja ratkaisee tarvittaessa samalla aineellisen ja aineettoman vahingon korvaamista koskevat vaatimukset.”
Pääasian tosiseikat ja ennakkoratkaisukysymykset
11 BE oli osakkeenomistajana läsnä 26.4.2019 pidetyssä osakeyhtiön yhtiökokouksessa, ja hän esitti tässä tilaisuudessa kysymyksiä osakeyhtiön hallituksen jäsenille ja yhtiökokouksen muille osallistujille. Tämän jälkeen BE pyysi kyseistä yhtiötä henkilötietojen rekisterinpitäjänä toimittamaan hänelle yhtiökokouksesta tehdyn äänitteen.
12 Kysymyksessä oleva yhtiö asetti BE:n saataville tästä äänitteestä otteet, joista kuuluivat hänen puheenvuoronsa, muttei otteita, joista kuuluivat kyseessä olevan yhtiökokouksen muiden osallistujien puheenvuorot.
13 BE vaati tämän jälkeen valvontaviranomaista yhtäältä toteamaan, että osakeyhtiö on toiminut lainvastaisesti ja vastoin asetusta 2016/679, koska se ei ole toimittanut hänelle kyseistä äänitettä, joka sisältää hänen kysymyksiinsä annetut vastaukset, ja toisaalta velvoittamaan osakeyhtiön toimittamaan hänelle kyseessä olevan äänitteen. Valvontaviranomainen hylkäsi tämän vaatimuksen 29.11.2019 tehdyllä päätöksellä.
14 BE valitti valvontaviranomaisen tekemästä päätöksestä, jolla kyseiset vaatimukset hylättiin, ennakkoratkaisua pyytäneeseen tuomioistuimeen kyseisen asetuksen 78 artiklan 1 kohdan nojalla ja vaati ensisijaisesti tämän päätöksen muuttamista ja toissijaisesti sen kumoamista.
15 Samaan aikaan kun BE saattoi asian valvontaviranomaisen käsiteltäväksi, hän käytti rekisterinpitäjän päätöksen osalta toista oikeussuojakeinoa eli nosti tällä kertaa kyseisen asetuksen 79 artiklan 1 kohtaan perustuvan kanteen siviilituomioistuimessa eli Fővárosi Ítélőtáblassa (Budapestin ylioikeus, Unkari).
16 Kun ensimmäinen näistä oikeussuojakeinoista oli edelleen vireillä ennakkoratkaisua pyytäneessä tuomioistuimessa, Fővárosi Ítélőtábla hyväksyi lainvoimaiseksi tulleella tuomiolla kanteen sillä perusteella, että rekisterinpitäjä oli loukannut BE:n oikeutta saada tutustua henkilötietoihinsa.
17 Ennakkoratkaisua pyytänyt tuomioistuin toteaa, että sen on tutkittava samat tosiseikat ja sama asetuksen 2016/679 rikkomista koskeva väite, joista Fővárosi Ítélőtábla on jo antanut lopullisen ratkaisun. Se tiedustelee, missä suhteessa toisiinsa ovat siviilituomioistuimen arviointi henkilötietojen rekisterinpitäjän tekemän päätöksen lainmukaisuudesta ja hallinnollinen menettely, jonka johdosta on tehty se tämän tuomion 13 kohdassa tarkoitettu valvontaviranomaisen päätös, joka on ennakkoratkaisua pyytäneessä tuomioistuimessa vireillä olevan valituksen kohteena, ja erityisesti, onko jompikumpi oikeussuojakeino ensisijainen toiseen nähden.
18 Asetuksen 2016/679 77–79 artiklassa säädettyjen oikeussuojakeinojen rinnakkainen käyttäminen voisi näet johtaa ristiriitaisten päätösten tekemiseen samoista tosiseikoista.
19 Tällainen tilanne saattaisi vaarantaa oikeusvarmuuden sekä yksityisten että valvontaviranomaisten osalta.
20 Ennakkoratkaisua pyytänyt tuomioistuin toteaa, että kun otetaan huomioon valvontaviranomaisten riippumattomuus ja niiden asetuksessa 2016/679 määritellyn toimivallan ensisijaisuus henkilötietojen suojaa koskevassa järjestelmässä, valvontaviranomaisten tehtävät ja valtuudet vaarantuisivat, jos niiden arviointeja sitoisivat sellaisen siviilituomioistuimen arvioinnit, jonka käsiteltäväksi samat tosiseikat on saatettu aiemmin kyseisen asetuksen 79 artiklan 1 kohdan nojalla.
21 Koska mainitun asetuksen säännöksissä ei säädetä mistään sen 77–79 artiklassa säädettyjen oikeussuojakeinojen etusijaa koskevasta säännöstä, ennakkoratkaisua pyytänyt tuomioistuin katsoo, että unionin tuomioistuimen on selvennettävä näiden oikeussuojakeinojen välistä suhdetta.
22 Fővárosi Törvényszék (Budapestin alioikeus, Unkari) päätti näin ollen lykätä asian käsittelyä ja esittää unionin tuomioistuimelle seuraavat ennakkoratkaisukysymykset:
”1) Onko [asetuksen 2016/679] 77 artiklan 1 kohtaa ja 79 artiklan 1 kohtaa tulkittava siten, että sen 77 artiklassa tarkoitettu hallinnollinen oikeussuojakeino on julkisoikeudelliseen oikeuteen vetoamiseksi käytettävä oikeussuojakeino, kun taas sen 79 artiklassa tarkoitettu oikeussuojakeino tuomioistuimessa on yksityisoikeudelliseen oikeuteen vetoamiseksi käytettävä oikeussuojakeino? Jos kysymykseen vastataan myöntävästi, seuraako tästä, että hallinto‑oikeudellisen oikeussuojakeinon osalta toimivaltaisella valvontaviranomaisella on ensisijainen toimivalta sääntöjenvastaisen menettelyn toteamisen osalta?
2) Jos rekisteröity, joka katsoo, että hänen henkilötietojaan on käsitelty [asetuksen 2016/679] vastaisesti, käyttää rinnakkain sekä [asetuksen 2016/679] 77 artiklan 1 kohdassa tarkoitettua oikeutta tehdä kantelu että [kyseisen asetuksen] 79 artiklan 1 kohdassa tarkoitettua oikeutta oikeussuojakeinoon tuomioistuimessa, kumpaa seuraavista tulkinnoista voidaan pitää perusoikeuskirjan 47 artiklan mukaisena tulkintana:
a) valvontaviranomaisen ja tuomioistuimen on toisistaan riippumatta tutkittava, onko kyseessä sääntöjenvastaisuus, ja ne voivat päätyä jopa erilaisiin ratkaisuihin; vai
b) valvontaviranomaisen päätös on ensisijainen siltä osin kuin on kyse sääntöjenvastaisuuden toteamisesta, kun otetaan huomioon [asetuksen] 51 artiklan 1 kohdassa tarkoitettu toimivalta ja sen 58 artiklan 2 kohdan b ja d kohdassa tarkoitetut valtuudet?
3) Onko [asetuksen 2016/679] 51 artiklan 1 kohdalla ja 52 artiklan 1 kohdalla valvontaviranomaiselle osoitettu riippumaton asema ymmärrettävä siten, että kun se käsittelee kantelua [kyseisen asetuksen] 77 artiklan nojalla ja tekee siitä päätöksen, toimivaltaisen tuomioistuimen [kyseisen asetuksen] 79 artiklan nojalla antama lainvoimainen tuomio ei sido sitä, jolloin se voi päätyä saman väitetyn sääntöjenvastaisuuden osalta erilaiseen ratkaisuun?”
Ennakkoratkaisukysymysten tarkastelu
Tutkittavaksi ottaminen
23 Euroopan komissio epäilee, voidaanko ennakkoratkaisukysymykset ottaa tutkittaviksi. Se toteaa, että – kuten ennakkoratkaisupyynnöstä ilmenee – sekä valvontaviranomainen että siviilituomioistuin olivat ennakkoratkaisupyynnön esittämisen ajankohtana antaneet ratkaisunsa, joten nämä kysymykset ovat sellaisinaan hypoteettisia. Ennakkoratkaisua pyytänyt tuomioistuin pohtii todellisuudessa sitä, miten kahden kansallisen tuomioistuimen eli hallintotuomioistuimen ja siviilituomioistuimen ratkaisut nivoutuvat yhteen. Tätä kysymystä ei kuitenkaan ole esitetty ennakkoratkaisupyynnössä.
24 Tältä osin on huomautettava, että olettamana on, että kansallisen tuomioistuimen niiden oikeudellisten seikkojen ja tosiseikkojen perusteella, joiden määrittämisestä se vastaa ja joiden paikkansapitävyyden selvittäminen ei ole unionin tuomioistuimen tehtävä, esittämillä unionin oikeuden tulkintaan liittyvillä kysymyksillä on merkitystä asian ratkaisun kannalta. Unionin tuomioistuin voi jättää tutkimatta kansallisen tuomioistuimen esittämän pyynnön ainoastaan, jos on ilmeistä, että pyydetyllä unionin oikeuden tulkitsemisella ei ole mitään yhteyttä kansallisessa tuomioistuimessa käsiteltävän asian tosiseikkoihin tai kohteeseen, jos kyseinen ongelma on luonteeltaan hypoteettinen tai jos unionin tuomioistuimella ei ole tiedossaan niitä tosiseikkoja ja oikeudellisia seikkoja, jotka ovat tarpeen, jotta se voisi antaa hyödyllisen vastauksen sille esitettyihin kysymyksiin (tuomio 10.2.2022, Bezirkshauptmannschaft Hartberg‑Fürstenfeld (Vanhentumisaika), C‑219/20, EU:C:2022:89, 20 kohta oikeuskäytäntöviittauksineen).
25 Unionin tuomioistuimen työjärjestyksen 94 artiklan c alakohdan mukaan on lisäksi niin, että ennakkoratkaisupyyntöön on sisällytettävä selostus niistä syistä, joiden vuoksi ennakkoratkaisua pyytävä tuomioistuin on ryhtynyt tarkastelemaan kysymystä unionin oikeuden tiettyjen säännösten tulkinnasta, sekä ennakkoratkaisua pyytävän tuomioistuimen toteama yhteys kyseisten säännösten ja pääasian oikeudenkäynnissä sovellettavan kansallisen lainsäädännön välillä.
26 Nyt käsiteltävässä asiassa on tosin selvää, että valvontaviranomainen, jonka käsiteltäväksi asia oli saatettu asetuksen 2016/679 77 artiklan 1 kohdan nojalla, on antanut ratkaisunsa ennen asian saattamista sen siviilituomioistuimen käsiteltäväksi, joka on ratkaissut BE:n kyseisen asetuksen 79 artiklan 1 kohdan nojalla nostaman kanteen. Ennakkoratkaisua pyytäneen tuomioistuimen esittämistä tosiseikoista ilmenee, että kyseisestä kanteesta on annettu lainvoimaiseksi tullut tuomio. Lisäksi on totta, että ennakkoratkaisua pyytänyt tuomioistuin on maininnut unionin tuomioistuimelle esittämissään ennakkoratkaisukysymyksissä ainoastaan nämä kaksi säännöstä.
27 Se, että ennakkoratkaisua pyytänyt tuomioistuin on esittänyt ennakkoratkaisukysymyksen viitaten vain unionin oikeuden tiettyihin määräyksiin tai säännöksiin, ei kuitenkaan estä unionin tuomioistuinta esittämästä kyseiselle tuomioistuimelle kaikkia tulkintaan liittyviä seikkoja, jotka saattavat olla hyödyllisiä kyseisen tuomioistuimen arvioidessa käsiteltävänään olevaa asiaa, riippumatta siitä, onko ennakkoratkaisua pyytänyt tuomioistuin kysymyksiä esittäessään viitannut niihin. Unionin tuomioistuimen on poimittava kaikista kansallisen tuomioistuimen esittämistä seikoista ja erityisesti ennakkoratkaisupyynnön perusteluista ne unionin oikeutta koskevat seikat, joita on syytä tulkita, kun otetaan huomioon riidan kohde (tuomio 10.2.2022, Bezirkshauptmannschaft Hartberg‑Fürstenfeld (Vanhentumisaika), C‑219/20, EU:C:2022:89, 34 kohta oikeuskäytäntöviittauksineen).
28 Yhtäältä ennakkoratkaisua pyytänyt tuomioistuin kuitenkin toteaa, että sitä ei kansallisen prosessioikeuden mukaan sido sen siviilituomioistuimen, joka on ratkaissut BE:n asetuksen N:o 2016/679 79 artiklan 1 kohdan nojalla nostaman kanteen, antama lainvoimainen tuomio. Toisaalta koska BE ei ole luopunut kyseisen asetuksen 78 artiklan 1 kohdan nojalla ennakkoratkaisua pyytäneeseen tuomioistuimeen tekemästään valituksesta, jossa vaaditaan tämän tuomion 13 kohdassa tarkoitetun valvontaviranomaisen päätöksen muuttamista tai kumoamista, viimeksi mainitun tuomioistuimen on otettava kantaa tämän ennen siviilituomioistuimen tuomion antamista tehdyn päätöksen lainmukaisuuteen.
29 Ennakkoratkaisua pyytänyt tuomioistuin, jonka käsiteltäväksi on saatettu asetuksen 2016/679 78 artiklan 1 kohdan nojalla valitus kyseisestä valvontaviranomaisen tämän asetuksen 77 artiklan 1 kohdan nojalla tekemästä päätöksestä, haluaa siis kysymyksillään tietää, onko sellaisen tuomioistuimen, jonka käsiteltäväksi asia on saatettu asetuksen 2016/679 79 artiklan 1 kohdan nojalla, antama lainvoimainen tuomio kyseisen asetuksen säännösten nojalla sitova sen toteamuksen osalta, onko kyseisellä asetuksella taattuja oikeuksia loukattu.
30 Jotta ennakkoratkaisua pyytäneelle tuomioistuimelle voidaan antaa hyödyllinen vastaus, on näin ollen katsottava, että se tiedustelee kysymyksillään, jotka on tutkittava yhdessä, lähinnä, onko asetuksen 2016/679 77 artiklan 1 kohtaa, 78 artiklan 1 kohtaa ja 79 artiklan 1 kohtaa, luettuina yhdessä perusoikeuskirjan 47 artiklan valossa, tulkittava siten, että yhtäältä kyseisessä 77 artiklan 1 kohdassa ja kyseisessä 78 artiklan 1 kohdassa ja toisaalta kyseisessä 79 artiklan 1 kohdassa säädettyjä oikeussuojakeinoja voidaan käyttää samanaikaisesti ja itsenäisesti, vai onko joku niistä ensisijainen muihin nähden.
31 Näin uudelleen muotoillut ennakkoratkaisukysymykset voidaan siis ottaa tutkittaviksi.
Asiakysymys
32 Aluksi on muistutettava, että unionin tuomioistuimen vakiintuneen oikeuskäytännön mukaan unionin oikeuden määräyksen tai säännöksen tulkitsemiseksi on otettava huomioon sen sanamuodon lisäksi sen asiayhteys sekä sillä säännöstöllä tavoitellut päämäärät, jonka osa se on (tuomio 2.12.2021, Vodafone Kabel Deutschland, C‑484/20, EU:C:2021:975, 19 kohta oikeuskäytäntöviittauksineen).
33 Tämän tuomion 30 kohdassa mainittujen asetuksen 2016/679 säännösten sanamuodosta on aluksi muistutettava, että kyseisen asetuksen 77 artiklan 1 kohdassa täsmennetään, että jokaisella rekisteröidyllä on oikeus tehdä kantelu valvontaviranomaiselle, ”sanotun kuitenkaan rajoittamatta muita hallinnollisia muutoksenhakukeinoja tai oikeussuojakeinoja”. Kyseisen asetuksen 78 artiklan 1 kohdan mukaan jokaisella luonnollisella henkilöllä tai oikeushenkilöllä on oikeus tehokkaisiin oikeussuojakeinoihin itseään koskevaa valvontaviranomaisen oikeudellisesti sitovaa päätöstä vastaan, ”sanotun kuitenkaan rajoittamatta muita hallinnollisia muutoksenhakukeinoja tai muita kuin oikeudellisia oikeussuojakeinoja”. Lopuksi saman asetuksen 79 artiklan 1 kohdassa taataan jokaiselle rekisteröidylle oikeus tehokkaisiin oikeussuojakeinoihin ”sanotun kuitenkaan rajoittamatta käytettävissä olevien hallinnollisten muutoksenhakukeinojen tai muiden kuin oikeudellisten oikeussuojakeinojen käyttöä, mukaan lukien 77 artiklaan perustuva oikeus tehdä kantelu valvontaviranomaiselle”.
34 Näissä asetuksen 2016/679 säännöksissä annetaan siis erilaisia oikeussuojakeinoja henkilöille, jotka vetoavat kyseisen asetuksen rikkomiseen, siten, että kutakin näistä oikeussuojakeinoista on voitava käyttää sen ”rajoittamatta” muiden oikeussuojakeinojen käyttöä.
35 Ensinnäkin näiden säännösten sanamuodosta ilmenee, että asetuksessa 2016/679 ei säädetä ensisijaisesta tai yksinomaisesta toimivallasta eikä mistään sellaisesta säännöstä, joka koskee kyseisen viranomaisen tai tuomioistuimen siitä tekemän arvioinnin ensisijaisuutta, onko tällä asetuksella myönnettyjä oikeuksia loukattu. Asetuksen 2016/679 78 artiklan 1 kohdassa säädettyä oikeussuojakeinoa, jonka kohteena on valvontaviranomaisen kyseisen asetuksen 77 artiklan nojalla tekemän päätöksen lainmukaisuuden tutkinta, ja saman asetuksen 79 artiklan 1 kohdassa säädettyä oikeussuojakeinoa voidaan siis käyttää samanaikaisesti ja itsenäisesti.
36 Tämän jälkeen on todettava, että tämä toteamus saa vahvistuksen asiayhteydestä, johon kyseessä olevat asetuksen 2016/679 säännökset kuuluvat.
37 Vaikka näet unionin lainsäätäjä on nimenomaisesti säännellyt asetuksessa 2016/679 säädettyjen oikeussuojakeinojen välistä suhdetta tilanteessa, jossa saman rekisterinpitäjän suorittama henkilötietojen käsittely on saatettu yhtä aikaa useiden jäsenvaltioiden valvontaviranomaisten tai tuomioistuinten käsiteltäväksi, on todettava, ettei se ole tehnyt näin kyseisen asetuksen 77–79 artiklassa säädettyjen oikeussuojakeinojen osalta.
38 Yhtäältä asetuksen 2016/679 60–63 artiklassa säädetään yhteistyötä, keskinäistä avunantoa ja yhdenmukaisuutta koskevista mekanismeista, joiden nojalla valvontaviranomaiset antavat toisilleen keskinäistä apua, tiedottavat toisilleen ja toteuttavat yhteisiä operaatioita varmistaakseen kyseisen asetuksen säännösten johdonmukaisen ja tehokkaan soveltamisen koko unionissa.
39 Toisaalta mainitun asetuksen 81 artiklan 2 ja 3 kohdassa säädetään säännöistä, jotka koskevat tapauksia, joissa asia on saatettu useiden eri jäsenvaltioiden tuomioistuinten käsiteltäväksi.
40 Tällaisista säännöistä ei sitä vastoin ole säädetty asetuksessa 2016/679 silloin, kun samassa jäsenvaltiossa saman henkilötietojen käsittelyn osalta tehdään kantelu valvontaviranomaiselle ja haetaan oikeussuojaa tuomioistuimelta.
41 Asetuksen 2016/679 78 artiklan 1 kohdasta, luettuna kyseisen asetuksen johdanto‑osan 143 perustelukappaleen valossa, ilmenee lisäksi, että tuomioistuimilla, joilta haetaan oikeussuojaa valvontaviranomaisen päätöstä vastaan, on oltava toimivalta kaikilta osin ja erityisesti toimivalta tutkia kaikki niiden käsiteltäväksi saatettuun asiaan liittyvät tosiseikkoja ja oikeudellisia seikkoja koskevat kysymykset.
42 Etenkin mainitun asetuksen johdanto‑osan kymmenennestä perustelukappaleesta ilmenee lopuksi, että asetuksella pyritään varmistamaan unionissa korkeatasoinen luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä. Asetuksen johdanto‑osan 11 perustelukappaleessa todetaan lisäksi, että henkilötietojen suojaaminen tehokkaasti edellyttää rekisteröityjen oikeuksien vahvistamista. Kuten julkisasiamies on ratkaisuehdotuksensa 55 kohdassa huomauttanut, unionin lainsäätäjän päätös antaa rekisteröidyille mahdollisuus käyttää samanaikaisesti ja itsenäisesti yhtäältä asetuksen 2016/679 77 artiklan 1 kohdassa ja 78 artiklan 1 kohdassa ja toisaalta kyseisen asetuksen 79 artiklan 1 kohdassa säädettyjä oikeussuojakeinoja on mainitun asetuksen tavoitteen mukaista.
43 Asetuksessa 2016/679 näet asetetaan jäsenvaltioiden toimivaltaisille viranomaisille tehtäväksi varmistaa SEUT 16 artiklassa ja perusoikeuskirjan 8 artiklassa taattujen oikeuksien suojan korkea taso (ks. vastaavasti tuomio 15.6.2021, Facebook Ireland ym., C‑645/19, EU:C:2021:483, 45 kohta).
44 Useiden oikeussuojakeinojen käyttöön antaminen vahvistaa myös asetuksen 2016/679 johdanto‑osan 141 perustelukappaleessa esitettyä tavoitetta taata jokaiselle rekisteröidylle, joka katsoo, että hänen kyseiseen asetukseen perustuvia oikeuksiaan on loukattu, oikeus tehokkaisiin oikeussuojakeinoihin perusoikeuskirjan 47 artiklan mukaisesti.
45 Jos unioni ei ole antanut asiaa koskevia säännöksiä, kunkin jäsenvaltion asiana on jäsenvaltioiden menettelyllistä itsemääräämisoikeutta koskevan periaatteen nojalla antaa hallinnollista menettelyä ja tuomioistuinmenettelyä koskevan säännöt, joilla pyritään turvaamaan unionin oikeuteen perustuvien yksityisten oikeuksien korkeatasoinen suoja.
46 Ennakkoratkaisua pyytäneen tuomioistuimen on siis ratkaistava kansallisten menettelysääntöjen perusteella, miten asetuksessa N:o 2016/679 säädettyjä oikeussuojakeinoja on sovellettava pääasiassa kyseessä olevan kaltaisessa tapauksessa.
47 Näiden samanaikaisten ja itsenäisten oikeussuojakeinojen soveltamista koskevien sääntöjen ei pitäisi kuitenkaan kyseenalaistaa kyseisellä asetuksella taattujen oikeuksien tehokasta vaikutusta ja tosiasiallista suojaa.
48 Nämä säännöt eivät näet saa olla epäedullisempia kuin ne, jotka koskevat samankaltaisia oikeussuojakeinoja jäsenvaltion sisäiseen oikeusjärjestykseen perustuvien oikeuksien suojaamiseksi (vastaavuusperiaate), eivätkä ne saa olla sellaisia, että unionin oikeusjärjestyksessä tunnustettujen oikeuksien käyttäminen on käytännössä mahdotonta tai suhteettoman vaikeaa (tehokkuusperiaate) (ks. vastaavasti tuomio 14.7.2022, EPIC Financial Consulting, C‑274/21 ja C‑275/21, EU:C:2022:565, 73 kohta oikeuskäytäntöviittauksineen).
49 Jäsenvaltioiden tuomioistuinten on SEU 4 artiklan 3 kohdassa vahvistetun vilpittömän yhteistyön periaatteen mukaisesti varmistettava yksityisillä unionin oikeuden perusteella olevien oikeuksien oikeussuoja; myös SEU 19 artiklan 1 kohdan mukaan jäsenvaltioiden on säädettävä tarvittavista oikeussuojakeinoista tehokkaan oikeussuojan takaamiseksi unionin oikeuteen kuuluvilla aloilla (tuomio 27.9.2017, Puškár, C‑73/16, EU:C:2017:725, 57 kohta).
50 Etenkin kun jäsenvaltiot määrittelevät asetuksella 2016/679 myönnettyjen oikeuksien suojaamisen varmistamiseksi tarkoitettuja oikeussuojakeinoja koskevat menettelysäännöt, niiden on taattava tehokkaita oikeussuojakeinoja ja puolueetonta tuomioistuinta koskevan oikeuden kunnioittaminen; kyseinen oikeus vahvistetaan perusoikeuskirjan 47 artiklassa, jossa toistetaan tehokasta tuomioistuimen antamaa oikeussuojaa koskeva periaate (ks. analogisesti tuomio 27.9.2017, Puškár, C‑73/16, EU:C:2017:725, 59 kohta).
51 Jäsenvaltioiden on siis varmistettava, etteivät asetuksen 2016/679 77 artiklan 1 kohdassa, 78 artiklan 1 kohdassa ja 79 artiklan 1 kohdassa säädettyjen oikeussuojakeinojen käyttämistä koskevat konkreettiset säännöt vaikuta suhteettomasti perusoikeuskirjan 47 artiklassa tarkoitettuun oikeuteen tehokkaisiin oikeussuojakeinoihin tuomioistuimessa (ks. vastaavasti tuomio 27.9.2017, Puškár, C‑73/16, EU:C:2017:725, 76 kohta).
52 Nyt käsiteltävässä asiassa ennakkoratkaisupyynnöstä ilmenee, että Unkarin oikeudessa säädetty oikeussuojakeinojen järjestelmä on laadittu siten, että asetuksen 2016/679 78 artiklan 1 kohdassa ja 79 artiklan 1 kohdassa säädetyt oikeussuojakeinot ovat itsenäisiä. Ennakkoratkaisua pyytänyt tuomioistuin näet täsmentää, ettei sitä sido Unkarin oikeuden mukaan sellaisen tuomioistuimen antama ratkaisu, jonka käsiteltäväksi on saatettu kyseisen 79 artiklan 1 kohtaan perustuva oikeussuojakeino, vaikka näiden tuomioistuimien käsiteltäväksi saatetut tosiseikat ovat samat.
53 Ei siis voida sulkea pois sitä, että näiden kahden tuomioistuimen antamat ratkaisut ovat keskenään ristiriitaisia, jos toisessa todetaan asetuksen 2016/679 säännösten rikkominen ja toisen mukaan tällaista rikkomista ei ole tapahtunut.
54 Tällaisessa tilanteessa yhtäältä kahden keskenään ristiriitaisen ratkaisun olemassaolo kyseenalaistaisi kyseisen asetuksen johdanto‑osan kymmenennessä perustelukappaleessa esitetyn tavoitteen varmistaa luonnollisten henkilöiden perusoikeuksien ja ‑vapauksien suojelua henkilötietojen käsittelyssä koskevien sääntöjen johdonmukainen ja yhtenäinen soveltaminen kaikkialla unionissa.
55 Suoja, joka myönnetään ratkaisulla, joka perustuu kyseisen asetuksen 79 artiklan 1 kohdan mukaiseen oikeussuojakeinoon ja jossa todetaan kyseisen asetuksen säännösten rikkominen, ei näet olisi johdonmukainen sellaisen toisen tuomioistuinratkaisun kanssa, joka perustuu saman asetuksen 78 artiklan 1 kohdassa tarkoitettuun oikeussuojakeinoon ja jonka lopputulos on päinvastainen.
56 Tämä johtaisi toisaalta luonnollisten henkilöiden heitä koskevien henkilötietojen käsittelyssä saaman suojan heikkenemiseen, koska tällainen epäjohdonmukaisuus aiheuttaisi oikeudellista epävarmuutta.
57 Kaiken edellä esitetyn perusteella esitettyihin kysymyksiin on vastattava, että asetuksen 2016/679 77 artiklan 1 kohtaa, 78 artiklan 1 kohtaa ja 79 artiklan 1 kohtaa, luettuina perusoikeuskirjan 47 artiklan valossa, on tulkittava siten, että niiden mukaan yhtäältä 77 artiklan 1 kohdassa ja 78 artiklan 1 kohdassa ja toisaalta 79 artiklan 1 kohdassa säädettyjä oikeussuojakeinoja voidaan käyttää samanaikaisesti ja itsenäisesti. Jäsenvaltioiden asiana on menettelyllisen itsemääräämisoikeuden periaatteen mukaisesti antaa säännöt siitä, miten nämä oikeussuojakeinot nivoutuvat yhteen, jotta varmistetaan kyseisellä asetuksella taattujen oikeuksien suojan tehokkuus, tämän asetuksen säännösten johdonmukainen ja yhtenäinen soveltaminen sekä perusoikeuskirjan 47 artiklassa tarkoitettu oikeus tehokkaisiin oikeussuojakeinoihin tuomioistuimessa.
Oikeudenkäyntikulut
58 Pääasian asianosaisten osalta asian käsittely unionin tuomioistuimessa on välivaihe kansallisessa tuomioistuimessa vireillä olevan asian käsittelyssä, minkä vuoksi kansallisen tuomioistuimen asiana on päättää oikeudenkäyntikulujen korvaamisesta. Oikeudenkäyntikuluja, jotka ovat aiheutuneet muille kuin näille asianosaisille huomautusten esittämisestä unionin tuomioistuimelle, ei voida määrätä korvattaviksi.
Näillä perusteilla unionin tuomioistuin (ensimmäinen jaosto) on ratkaissut asian seuraavasti:
Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja‑asetus) 77 artiklan 1 kohtaa, 78 artiklan 1 kohtaa ja 79 artiklan 1 kohtaa, luettuina Euroopan unionin perusoikeuskirjan 47 artiklan valossa,
on tulkittava siten, että
niiden mukaan yhtäältä 77 artiklan 1 kohdassa ja 78 artiklan 1 kohdassa ja toisaalta 79 artiklan 1 kohdassa säädettyjä oikeussuojakeinoja voidaan käyttää samanaikaisesti ja itsenäisesti. Jäsenvaltioiden asiana on menettelyllisen itsemääräämisoikeuden periaatteen mukaisesti antaa säännöt siitä, miten nämä oikeussuojakeinot nivoutuvat yhteen, jotta varmistetaan kyseisellä asetuksella taattujen oikeuksien suojan tehokkuus, tämän asetuksen säännösten johdonmukainen ja yhtenäinen soveltaminen sekä perusoikeuskirjan 47 artiklassa tarkoitettu oikeus tehokkaisiin oikeussuojakeinoihin tuomioistuimessa.
Allekirjoitukset