Esialgne tõlge
KOHTUJURISTI ETTEPANEK
PRIIT PIKAMÄE
esitatud 22. veebruaril 2024(1)
Kohtuasi C‑693/22
I. sp. z o. o.
versus
M. W.
(eelotsusetaotlus, mille on esitanud Sąd Rejonowy dla m. st. Warszawy w Warszawie (Varssavi linna rajoonikohus Varssavis, Poola))
Eelotsusetaotlus – Isikuandmete kaitse – Määrus (EL) 2016/1679 – Isikuandmeid sisaldava andmebaasi müük täitemenetluses – Artikli 4 punkt 7 – Mõiste „vastutav töötleja“ – Artikli 5 lõike 1 punkt b – Eesmärgi piirang – Artikli 6 lõiked 1, 3 ja 4 – Isikuandmete töötlemise seaduslikkus – Vastutavale töötlejale seadusega kehtestatud kohustuse järgimine – Avalikku huvi pakkuva ülesande täitmine – Artikli 23 lõike 1 punkt j – Tsiviilõiguslike nõuete täitmine – Vajalik ja proportsionaalne meede
1. Kas isikuandmeid sisaldava andmebaasi müük täitemenetluses võib olla kooskõlas Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määrusega (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (edaspidi „isikuandmete kaitse üldmäärus)(2), kui andmesubjektid ei ole andnud selleks müügiks oma nõusolekut?
2. Niisugune on põhiküsimus, mille on Euroopa Kohtule esitanud Sąd Rejonowy dla m. st. Warszawy w Warszawie (Varssavi linna rajoonikohus Varssavis, Poola) selle eelotsusetaotluse raames.
3. Euroopa Kohus peab seega analüüsima ühte erijuhtumit isikuandmete kaitse üldmäärusest lähtudes ja võtma seisukoha selle määruse teatavate võtmeelementide kohta, milleks on mõiste „vastutav töötleja“, isikuandmete töötlemise seaduslikkus ja eesmärgi piirangu põhimõtte ulatus.
I. Õiguslik raamistik
A. Liidu õigus
4. Isikuandmete kaitse üldmääruse artiklis 4 on ette nähtud:
„Käesolevas määruses kasutatakse järgmisi mõisteid:
1) „isikuandmed“ – igasugune teave tuvastatud või tuvastatava füüsilise isiku („andmesubjekti“) kohta; […]
2) „isikuandmete töötlemine“ – isikuandmete või nende kogumitega tehtav automatiseeritud või automatiseerimata toiming või toimingute kogum, nagu kogumine, dokumenteerimine, korrastamine, struktureerimine, säilitamine, kohandamine ja muutmine, päringute tegemine, lugemine, kasutamine, edastamise, levitamise või muul moel kättesaadavaks tegemise teel avalikustamine, ühitamine või ühendamine, piiramine, kustutamine või hävitamine;
[…]
7) „vastutav töötleja“ – füüsiline või juriidiline isik, avaliku sektori asutus, amet või muu organ, kes üksi või koos teistega määrab kindlaks isikuandmete töötlemise eesmärgid ja vahendid; kui sellise töötlemise eesmärgid ja vahendid on kindlaks määratud liidu või liikmesriigi õigusega, võib vastutava töötleja või tema määramise konkreetsed kriteeriumid sätestada liidu või liikmesriigi õiguses;
[…]“.
5. Selle määruse artikli 5 „Isikuandmete töötlemise põhimõtted“ lõigetes 1 ja 2 on sätestatud:
„1. Isikuandmete töötlemisel tagatakse, et
a) töötlemine on seaduslik, õiglane ja andmesubjektile läbipaistev („seaduslikkus, õiglus ja läbipaistvus“);
b) isikuandmeid kogutakse täpselt ja selgelt kindlaksmääratud ning õiguspärastel eesmärkidel ning neid ei töödelda hiljem viisil, mis on nende eesmärkidega vastuolus; […]
c) isikuandmed on asjakohased, olulised ja piiratud sellega, mis on vajalik nende töötlemise eesmärgi seisukohalt („võimalikult väheste andmete kogumine“);
[…]
2. Lõike 1 täitmise eest vastutab ja on võimeline selle täitmist tõendama vastutav töötleja („vastutus“).“
6. Selle määruse artikkel 6 „Isikuandmete töötlemise seaduslikkus“ on sõnastatud järgmiselt:
„1. Isikuandmete töötlemine on seaduslik ainult juhul, kui on täidetud vähemalt üks järgmistest tingimustest, ning sellisel määral, nagu see tingimus on täidetud:
a) andmesubjekt on andnud nõusoleku töödelda oma isikuandmeid ühel või mitmel konkreetsel eesmärgil;
[…]
c) isikuandmete töötlemine on vajalik vastutava töötleja seadusjärgse kohustuse täitmiseks;
[…]
e) isikuandmete töötlemine on vajalik avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks;
[…]
3. Lõike 1 punktides c ja e osutatud isikuandmete töötlemise alus kehtestatakse:
a) liidu õigusega või
b) vastutava töötleja suhtes kohaldatava liikmesriigi õigusega.
[…]
Isikuandmete töötlemise eesmärk määratakse kindlaks selles õiguslikus aluses või see on lõike 1 punktis e osutatud isikuandmete töötlemise osas vajalik avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks. […] Liidu või liikmesriigi õigus vastab avaliku huvi eesmärgile ning on proportsionaalne taotletava õiguspärase eesmärgiga.
4. Kui isikuandmete töötlemine muul eesmärgil kui see, milleks isikuandmeid koguti, ei põhine andmesubjekti nõusolekul või liidu või liikmesriigi õigusel, mis on demokraatlikus ühiskonnas vajalik ja proportsionaalne meede, et tagada artikli 23 lõikes 1 osutatud eesmärkide täitmine, võtab vastutav töötleja selle kindlakstegemiseks, kas muul eesmärgil töötlemine on kooskõlas eesmärgiga, mille jaoks isikuandmeid algselt koguti, muu hulgas arvesse
a) seost nende eesmärkide, mille jaoks isikuandmeid koguti, ja kavandatava edasise töötlemise eesmärkide vahel;
b) isikuandmete kogumise konteksti, eelkõige andmesubjektide ja vastutava töötleja vahelist seost;
c) isikuandmete laadi, eelkõige seda, kas töödeldakse isikuandmete eriliike vastavalt artiklile 9 või süüteoasjades süüdimõistvate kohtuotsuste ja süütegudega seotud isikuandmeid vastavalt artiklile 10;
d) kavandatava edasise töötlemise võimalikke tagajärgi andmesubjektide jaoks;
e) asjakohaste kaitsemeetmete olemasolu, milleks võivad olla näiteks krüpteerimine ja pseudonümiseerimine.“
7. Isikuandmete kaitse üldmääruse artikli 23 „Piirangud“ lõikes 1 on ette nähtud:
„1. Vastutava töötleja või volitatud töötleja suhtes kohaldatavas liidu või liikmesriigi õiguses võib seadusandliku meetmega piirata artiklites 12–22 ja artiklis 34, samuti artiklis 5 sätestatud kohustuste ja õiguste ulatust, kuivõrd selle sätted vastavad artiklites 12–22 sätestatud õigustele ja kohustustele, kui selline piirang austab põhiõiguste ja -vabaduste olemust ning on demokraatlikus ühiskonnas vajalik ja proportsionaalne meede, et tagada
[…]
j) tsiviilõiguslike nõuete täitmise tagamine.“
Poola õigus
8. 15. septembri 2000. aasta äriseadustiku (ustawa Kodeks spółek handlowych) (Dz. U. 2022, jrk nr 1476; edaspidi „äriseadustik“) artikkel 299 on sõnastatud järgmiselt:
„§ 1. Kui äriühingu vastu ei õnnestu alustada täitemenetlust, vastutavad nõukogu liikmed solidaarselt äriühingu kohustuste eest.
§ 2. Nõukogu liige võib vabaneda lõikes 1 nimetatud vastutusest, kui tõendab, et õigeaegselt on esitatud pankrotiavaldus või sama aja jooksul on kompromissikava raames tehtud ümberkujundamise otsus või kompromiss, või tõendab, et pankrotiavalduse esitamata jätmine ei leidnud aset tema süül või vaatamata pankrotiavalduse esitamata jätmisele ja kompromissikava raames ümberkujundamise otsuse või kompromissi tegemata jätmisele ei tekkinud võlausaldajale kahju.“
9. 17. novembri 1964. aasta tsiviilkohtumenetluse seadustiku (ustawa Kodeks postępowania cywilnego) (Dz. U. 2021, jrk nr 1805) (muudetud redaktsioonis) (edaspidi „tsiviilkohtumenetluse seadustik“) artikli 796 lõikes 1 on sätestatud:
„Täitemenetluse alustamise avaldus esitatakse kas kohtule või kohtutäiturile vastavalt nende pädevusele. Kohtutäiturile võib täitmisavalduse esitada ametlikul vormil.“
10. Tsiviilkohtumenetluse seadustiku artikli 799 lõike 1 esimeses lauses on sätestatud:
„Täitmisavaldus või avaldus ex officio täitmiseks võimaldab kasutada kõiki lubatud täitmisviise, välja arvatud sissenõude pööramine kinnisasjale. […]“.
11. Sama seadustiku artikli 824 lõike 1 punkt 3 on sõnastatud järgmiselt:
„Kohtulik täitemenetlus lõpetatakse täielikult või osaliselt ex officio, kui:
[...]
3) saab selgeks, et sundtäitmisega ei ole võimalik saada selle läbiviimise kuludest suuremast summat.“
12. Nimetatud seadustiku artiklis 831 on ette nähtud:
„§ 1. Täitemenetluses ei saa sissenõuet pöörata:
[…]
3) võõrandamatutele õigustele, välja arvatud juhul, kui nende võõrandamatus on lepinguga välistatud ja soorituse esemele saab sissenõude pöörata või õiguse teostamise saab üle anda teisele isikule“.
13. 22. märtsi 2018. aasta kohtutäiturite seadus (ustawa o komornikach sądowych) (Dz. U. 2022, jrk nr 1168) (muudetud redaktsioonis) (edaspidi „kohtutäiturite seadus“) reguleerib kohtutäiturite staatust ja tegevust. Selle artikli 3 lõigetes 1 ja 3 on sätestatud:
„Kohtutäitur on täite- ja tagamismenetluse toiminguid tegev avaliku võimu esindaja. Vastavaid toiminguid tehes võtab kohtutäitur arvesse seadustes ette nähtud erandeid.
[…]
Kohtutäitur täidab järgmisi ülesandeid:
1) kohtuotsuste täitmine asjades, milles on tegemist rahaliste või mitterahaliste nõuete ja tagatise deponeerimisega, sh Euroopa arestimismäärused pangakontode arestimiseks, v.a [tsiviilkohtumenetluse seadustikus] ette nähtud erandid;
[…]“.
14. Selle seaduse artikli 9 lõikes 1 on sätestatud:
„Kohtutäitur ei või keelduda täitmast avaldust, mille ese on:
1) sundtäitmine,
[...]
toimingud, mida ta on vastavalt [tsiviilkohtumenetluse seadustikule] pädev tegema“.
15. Nimetatud seaduse artikli 31 lõike 1 esimene lause on sõnastatud järgmiselt:
„Pangakontol, hoiu-laenuühistus oleval kontol või maakleritegevusega tegeleva isiku kontol arestitud summad kannab kohtutäitur pärast arestitud nõude võlgniku tehtud esimesest makset võlausaldajale üle mitte varem kui 7 päeva ja mitte hiljem kui 14 päeva jooksul alates nende laekumisest. […]“.
16. 27. juuli 2001. aasta andmebaaside kaitse seaduse (Ustawa o ochronie baz danych) (Dz. U. 2021, jrk nr 386; edaspidi „andmebaaside kaitse seadus“) artikli 2 lõike 1 punktis 1 on ette nähtud:
„Käesolevas seaduses kasutatakse järgmisi mõisteid:
1) „andmebaas“ – konkreetse meetodi või süsteemi kohaselt kogutud andmete või muude elementide kogum, millele pääseb ligi individuaalselt kõikide vahenditega, sh elektrooniliste vahenditega, ja milleks on tarvis märkimisväärset kvalitatiivset või kvantitatiivset investeeringut, et luua, kontrollida ja esitleda selle sisu“.
17. Andmebaaside kaitse seaduse artikli 6 lõikes 1 on sätestatud:
„Andmebaasi tegijal on võõrandatav ainuõigus teha päringuid ja taaskasutada andmeid täielikult või olulise osa ulatuses, mida hinnatakse kvalitatiivselt või kvantitatiivselt.“
II. Põhikohtuasi, eelotsuse küsimus ja menetlus Euroopa Kohtus
18. Äriühingul I. (edaspidi „hageja“ või „võlausaldajast äriühing“), asukoht Poola, on nõue, mida kinnitab jõustunud kohtuotsus, äriühingu NMW vastu, kes on spetsialiseerunud internetimüügile ja kelle nõukogu liige on M. W.
19. Hageja nõudel algatati NMW suhtes täitemenetlus, mille eesmärk oli selle nõude rahuldamine. Menetluse tulemusena tegi kohtutäitur otsuse täitmine lõpetada põhjusel, et NMW‑l ei olnud vara, millele täidetavat nõuet pöörata. Nendel asjaoludel esitas hageja Sąd Rejonowy dla m. st. Warszawy w Warszawiele (Varssavi linna rajoonikohus) hagi M. W. vastu äriseadustiku artikli 299 lõike 1 alusel, milles on ette nähtud võlgnikust äriühingu nõukogu liikme varaline vastutus juhul, kui nõuet ei ole võimalik sisse nõuda selle äriühingu vara arvel.
20. M. W. palus jätta see hagi rahuldamata põhjendusel, et äriühingul NMW oli varasid, millest igaühe väärtus ületas hageja nõude, st veebipõhise ostutarkvara lähtekood koos quasi-cashback-teenusega (edaspidi „platvorm M.“) ja kaks andmebaasi selle platvormi kasutajate andmetega.
21. Eelotsusetaotluse esitanud kohus väidab siiski, et ainuüksi platvormi M. müük ilma nende andmebaasideta ei ole turul sama atraktiivne kui kogu n-ö paketi müük.
22. Selle kohtu sõnul on seega vaja saada vastus küsimusele, kas NMW loodud andmebaase võib kohtulikus täitemenetluses võõrandada. Jaatava vastuse korral tuleb nimelt hagi põhikohtuasjas rahuldamata jätta.
23. Selles küsimuses täpsustab eelotsusetaotluse esitanud kohus, et kuigi kõnesoleva vara väärtuse hindamine, millele tugines M. W., ei ole talle siduv – seda enam, et seda hindamist ei viinud läbi kohtuekspert –, on vastus eespool esitatud küsimusele vaidluse lahendamiseks põhikohtuasjas endiselt vajalik, sest Poola tsiviilkohtumenetlust reguleerivad õigusnormid ei võimalda niisugust tõendit esitada ilma, et selle asjakohasus oleks eelnevalt tõendatud.
24. See kohus leiab, et kõnesolevad andmebaasid on hõlmatud mõistega „andmebaas“ Euroopa Parlamendi ja nõukogu 11. märtsi 1996. aasta direktiivi 96/9/EÜ andmebaaside õiguskaitse kohta(3) artikli 1 tähenduses, mistõttu on nende omanikul äriühingul NMW varaline õigus võõrandada need andmebaasid vastavalt selle direktiivi artiklile 7. Täitemenetlustes saab nimelt nõude pöörata ükskõik missugusele varalisele õigusele, v.a juhul, kui mõni säte välistab niisuguse võimaluse sõnaselgelt. Poola seadusandja ei ole ette näinud ühtegi õigusnormi, mis keelaks sundtäitmise korral nõuet pöörata niisugusele andmebaasile nagu põhikohtuasjas käsitletav.
25. Eelotsusetaotluse esitanud kohtul on kahtlusi, kas kohtuliku täitmise raames saab nõuet pöörata niisugustele andmebaasidele, sest need sisaldavad sadade tuhandete platvormi M. kasutajate isikuandmeid ega ole ühtegi tõendit, et selle platvormi kasutajad oleksid nõustunud oma isikuandmete töötlemisega niisuguses vormis, et need andmed antakse kolmandate isikute käsutusse väljaspool seda platvormi. Ta täpsustas, et kõnesolevad andmed ei kuulu isikuandmete eriliikide alla isikuandmete kaitse üldmääruse artikli 9 tähenduses.
26. Sellel kohtul on tekkinud ka küsimus, missugune on suhe isikuandmete kaitse üldmäärusega kehtestatud isikuandmete töötlemise piirangute ning direktiivist 96/9 ja riigisisesest õigusest tuleneva andmebaasi vaba käsutamise õiguse vahel, mis hõlmab tema sõnul ka õigust anda andmebaas täitemenetluse raames üle.
27. Selles olukorras otsustas Sąd Rejonowy dla m. st. Warszawy w Warszawie (Varssavi linna rajoonikohus) menetluse peatada ja esitada Euroopa Kohtule järgmise eelotsuse küsimuse:
„Kas [isikuandmete kaitse üldmääruse] artikli 5 lõike 1 punkti a koostoimes artikli 6 lõike 1 punktidega a, c ja e ning artikli 6 lõikega 3 tuleb tõlgendada nii, et nende sätetega on vastuolus liikmesriigi õigusnormid, mis võimaldavad müüa täitemenetluses isikuandmetest koosnevaid andmebaase [direktiivi 96/9] artikli 1 lõike 2 tähenduses, kui andmesubjektid ei ole selliseks müügiks nõusolekut andnud?“
28. Poola valitsus ja Euroopa Komisjon esitasid kirjalikud seisukohad. Samad asjast huvitatud isikud ja I. esitasid suulised seisukohad kohtuistungil, mis toimus 16. novembril 2023.
III. Õiguslik analüüs
A. Vastuvõetavus
29. Kõigepealt tuleb arutada kahte teemat, mis puudutavad selle eelotsuse küsimuse vastuvõetavust.
30. Esiteks avaldas põhikohtuasja hageja kohtuistungil kahtlust, kas see küsimus on asjakohane. Selle menetlusosalise sõnul lõpetas äriühing NMW oma majandustegevuse juba mõni aasta tagasi. Täpsemalt ei ole sel äriühingul enam nõukogu ega juhatust ning ta ei osuta teenust platvormi M. kasutajatele alates 2019. aasta aprillikuust.(4) Seega on ta paratamatult lõpetanud igasuguse isikuandmete töötlemise seoses oma tegevusega. Nendel asjaoludel nõudsid eesmärgi piirangu ja võimalikult väheste andmete säilitamise põhimõte asjaomaste andmete kustutamist, vastasel juhul oleks juba põhikohtuasjas käsitletavate andmebaaside olemasolugi ebaseaduslik. Seda arvestades ei ole eelotsusetaotluse esitanud kohtu küsimus, mis käsitleb nende täitemenetluses müümise seaduslikkust, põhikohtuasjas vaidluse lahendamisel asjakohane.
31. On tarvis märkida, et isikuandmete kaitse üldmääruse artikli 5 lõike 1 punkti e kohaselt tuleb isikuandmeid(5) säilitada kujul, mis võimaldab andmesubjekte tuvastada ainult seni, kuni see on vajalik selle eesmärgi täitmiseks, milleks isikuandmeid töödeldakse. Sellest tuleneb, et isegi alguses seaduslik andmete töötlemine võib aja möödudes minna isikuandmete kaitse üldmäärusega vastuollu, kui neid andmeid ei ole enam nendel eesmärkidel vaja.(6) Niisugusel juhul tuleb need andmed kustutada.(7) Käsitletaval juhul koguti kõnesolevad andmed kahtlemata internetimüügi tegevuseks, millega NMW tegeles. Olukorras, kus viimane lõpetas selle tegevuse 2019. aasta aprillis, on vaevalt kahtlust, et neid andmeid ei olnud selleks enam vaja ja need oleks tulnud seega kustutada. Kui neid ei kustutatud, ei ole kõnesolevate andmebaaside olemasolu isikuandmete kaitse üldmäärusega kooskõlas ja on ilmne, et eelotsuse küsimus ei ole põhikohtuasjas vaidluse lahendamisel asjakohane.
32. Selles olukorras tuleb meenutada, et väljakujunenud kohtupraktika kohaselt on Euroopa Kohtul üksnes pädevus võtta seisukoht liidu õiguse tõlgendamise küsimuses, lähtudes faktilisest ja õiguslikust raamistikust, mille liikmesriigi kohus on määratlenud omal vastutusel ning mida Euroopa Kohus ei saa kahtluse alla seada ja mille paikapidavuse kontrollimine ei ole tema ülesanne.(8)
33. Eelotsusetaotluse ühestki punktist ei ilmne aga, et äriühing NMW lõpetas oma tegevuse 2019. aasta aprillis, nagu väidab hageja.
34. Teiseks on eelotsusetaotluse esitanud kohtul kahtlusi, kas isikuandmete kaitse üldmäärus on direktiivi 96/9 sätteid arvestades kohaldatav.
35. Kõigepealt tuleb meenutada, et direktiivi 96/9 eesmärk on kõrvaldada riigisiseste õigusnormide ühtlustamise abil erinevused, mis esinesid nende vahel andmebaaside õiguskaitse osas ja mis kahjustasid siseturu funktsioneerimist, kaupade ja teenuste vaba liikumist liidus ning liidusisese infoturu arengut.(9) Vastavalt artikli 1 lõikele 1 käitleb see direktiiv ükskõik millises vormis andmebaaside õiguskaitset, kusjuures tuleb täpsustada, et selle artikli lõikes 2 on „andmebaas“ määratletud kui „süstemaatiliselt või metoodiliselt korrastatud iseseisvate teoste, andmete või muu materjali kogu, mis on individuaalselt kättesaadav elektrooniliste või muude vahendite abil“.
36. Selle direktiiviga on kõikidelt liikmesriikidelt nõutud, et nad näeksid oma riigisiseses õiguses ette andmebaaside kaitse sui generis õigusega. Täpsemalt on direktiivi 96/9 artikli 7 lõikega 1 õigus keelata andmebaasi kogu sisust või kvantiteedilt või kvaliteedilt olulisest osast väljavõtte tegemist ja/või selle taaskasutamist antud ainult andmebaasi tegijale, kui selleks on tehtud oluline investeering. Direktiivi artikli 7 lõike 3 kohaselt on see õigus loovutatav.
37. Eelotsusetaotluse esitanud kohtu sõnul vastavad äriühingule NMW kuuluvad andmebaasid tingimustele, mis peavad olema täidetud, et need võiksid saada kaitse, mis on tagatud andmebaaside kaitse seaduse ja direktiiviga 96/9, millest esimesega on teine Poola õiguskorda üle võetud. Selle seaduse artiklis 6 on muu hulgas ette nähtud, et andmebaasi tegijal on võõrandatav ainuõigus päringuid teha ja andmeid täies või olulise osa ulatuses taaskasutada. Eelotsusetaotluse esitanud kohtu sõnul on seega tegemist varalise õigusega, mis on oma olemuselt absoluutne ja erga omnes toimega. Poola õiguse kohaselt võib täitemenetluse läbi viia mis tahes varalise õiguse suhtes, kui puuduvad selged õigusnormid, mis sellise võimaluse välistavad. Poola seadusandja ei ole aga kehtestanud mingeid norme, mis keelaks täitemenetluse läbiviimise andmebaaside suhtes. Sellest järeldub, et kohtutäituril on käsitletaval juhul õigus võõrandada andmebaasid võlausaldaja huvides: see õigus tuleneb õigusest andmebaase vabalt käsutada, mis on nende andmebaaside tegijal, kelle suhtes on algatatud täitemenetlus. Sellele õigusele tuginemine võib takistada isikuandmete kaitse üldmääruses sätestatu kohaldamist niisugusel juhul nagu käsitletav ja muuta seega selle küsimuse vastuvõetamatuks.
38. Kõigepealt tuleb märkida, et selle direktiivi artikliga 7 tunnustatud sui generis õigust ei ole eelotsusetaotluse esitanud kohus õigesti mõistnud. Tegelikult on tegemist õigusega takistada niisuguseid toiminguid nagu andmebaasi või selle olulise osa uuesti moodustamine sõltumatuks väljatöötamiseks vajalike kuludega võrreldes väga väikeste kuludega,(10) kusjuures liidu seadusandja taotleb seejuures eesmärki tagada asja algatanud isikule, kes riskis sellega, et tegi märkimisväärse investeeringu andmebaasi sisu omandamiseks, kontrollimiseks või esitamiseks, tasu oma investeeringu eest, kaitstes teda selle investeeringu tulemuste lubamatu omastamise eest.(11)
39. Lisaks ilmneb direktiivi 96/9 ja isikuandmete kaitse üldmääruse suhte kohta selle direktiivi artiklist 13, et direktiivi sätted ei mõjuta muu hulgas sätteid, mis käsitlevad isikuandmete kaitset ja õigust eraelu puutumatusele, ning selle direktiivi põhjendusest 48, et selle sätted ei piira kohaldada reegleid, mis on andmekaitse alal sätestatud Euroopa Parlamendi ja nõukogu 24. oktoobri 1995. aasta direktiiviga 95/46/EÜ üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta(12), millele järgnes isikuandmete kaitse üldmäärus.(13)
40. Leian seega, et Euroopa Kohus peaks võtma seisukoha käesoleva kohtuasja sisulistes küsimustes.
B. Sisulised küsimused
41. Eelotsusetaotluse esitanud kohus soovib oma küsimusega sisuliselt teada, kas isikuandmete kaitse üldmääruse artikli 5 lõike 1 punkti a ning artikli 6 lõike 1 esimese lõigu punkte a, c ja e ja lõiget 3 tuleb tõlgendada nii, et nendega on vastuolus riigisisesed õigusnormid, mis võimaldavad kohtutäituril müüa täitemenetluses isikuandmeid sisaldava andmebaasi, kui vastavad andmesubjektid ei ole andnud müügiks nõusolekut.
42. Minu õiguslik analüüs toimub järgmises järjekorras. Isikuandmete kaitse üldmääruse puhul on selle määruse käsitletaval juhul kohaldatavuse küsimust ja vastutava töötaja kindlakstegemise küsimust analüüsitud enne niisuguse töötlemise seaduslikkust käsitlevate õigusnormide tõlgenduse analüüsi.
43. Käesolevas ettepanekus esitatud arutluskäik näitab, et liidu õigusnormid, mida Euroopa Kohus peab arvesse võtma, langevad üksnes osaliselt kokku eelotsuse küsimuses viidatutega. Väljapakutud vastus puudutab seega neid sätteid.(14)
a) Töötlemise olemasolu ja vastutava töötleja kindlakstegemine
44. Nagu ilmneb selle põhjendusest 10, on isikuandmete kaitse üldmääruse eesmärk eelkõige tagada liidus füüsiliste isikute kõrgetasemeline kaitse ja selleks tagada nende isikute põhiõiguste ja -vabaduste kaitse eeskirjade järjekindel ja ühtne kohaldamine kogu liidus.(15)
45. Selle artikli 2 lõike 1 järgi kohaldatakse seda määrust isikuandmete täielikult või osaliselt automatiseeritud töötlemise suhtes ja isikuandmete automatiseerimata töötlemise suhtes, kui kõnealused isikuandmed kuuluvad andmete kogumisse või kui need kavatsetakse andmete kogumisse kanda.
46. Sama artikli lõikes 2 on sätestatud teatav hulk selle määruse kohaldamise erandeid, mis põhinevad selle tegevuse liigil, mille raames töötlemine toimub. Euroopa Kohtu praktikast ilmneb, et arvestades vajadust tõlgendada neid erandeid kitsalt, on tarvis, et seda tegevust oleks sõnaselgelt nimetatud isikuandmete kaitse üldmääruse artikli 2 lõikes 2 või et selle võiks liigitada samasse kategooriasse, millesse seal nimetatud tegevused. Tegevuse iseloomustamisest nii, et see on omane riigile või avalik-õiguslikule asutusele, ei piisa asumaks seisukohale, et isikuandmeid töödeldakse muu kui liidu õiguse kohaldamisalasse kuuluva tegevuse käigus isikuandmete kaitse üldmääruse artikli 2 lõike 2 punktis a nimetatud erandi tähenduses.(16)
47. Siin asjasse puutuva osas tuleb märkida, et töötlemine tsiviilõigusliku nõude sundtäitmise raames ei jää väljapoole selle määruse kohaldamisala.
48. Isikuandmete kaitse üldmääruse kohaldamisala piirid määrab ära mõiste „isikuandmete töötlemine“. Selle määruse artikli 4 punkti 2 järgi hõlmab see mõiste iga isikuandmete või nende kogumitega tehtavat automatiseeritud toimingut või toimingute kogumit, näiteks muu hulgas isikuandmete „päringute tegemine“, „lugemine“, „kasutamine“ ja „muul moel kättesaadavaks tegemine“. Liidu seadusandja soovis seega anda sellele mõistele laia ulatuse.(17)
49. Kas käsitletaval juhul on tegemist isikuandmete töötlemisega?
50. Tuleb teha üks sissejuhatav täpsustus. Eelotsusetaotluse esitanud kohtu küsimus ei puuduta toiminguid isikuandmetega, mida äriühing NMW tegi oma internetimüügiga tegelemiseks platvormi M. kaudu. See küsimus puudutab ainult liikmesriigi pädeva kohtu välja antud täitedokumendi alusel algatatud täitemenetlust kõnesolevate andmebaaside sundmüügi eesmärgil. Eelotsusetaotluse esitanud kohtu sõnul eeldab see menetlus isikuandmete töötlemist isikuandmete kaitse üldmääruse tähenduses, mille puhul on vastutav töötleja kohtutäitur.
51. Selgitused, mille Poola valitsus andis kohtuistungil ülesande kohta, mis on kohtutäituril niisuguse täitemenetluse raames, ei jäta minu arvates mingit kahtlust, et see tõlgendus on õige.
52. Nimetatud valitsus selgitas, et kõnesolev menetlus algab andmebaasi arestimisega, millega kohtutäitur saab juurdepääsu selles olevatele isikuandmetele, et hinnata selle väärtust ja kanda see arestimisprotokolli. Niisuguseks hindamiseks teeb kohtutäitur rea toiminguid, mille hulgas on päringute tegemine, andmete lugemine ja kasutamine.(18) Täitemenetlus jõuab lõpule andmebaasi võõrandamisega avalikul oksjonil. Kui pakkumine on lõplik ja kogu hind tasutud, annab kohtutäitur selle andmebaasi ostja käsutusse.
53. Sellest tuleneb, et kohtutäitur tegi kõnesolevates andmebaasides olevate andmete kohta vähemalt päringuid, luges ja kasutas andmeid andmebaaside väärtuse hindamisel ning seejärel andis andmebaasid ostja käsutusse. Selles küsimuses tuleb märkida, et isikuandmete töötlemine võib koosneda mitmest toimingust, millest igaüks puudutab ühte nendest eri etappidest, mida isikuandmete töötlemine võib hõlmata.(19) Käsitletaval juhul tuleb neid toiminguid seega pidada „isikuandmete töötlemiseks“ isikuandmete kaitse üldmääruse tähenduses.
54. Seejärel tuleb teha kindlaks vastutav töötleja.
55. Meenutan, et isikuandmete kaitse üldmääruse artikli 4 punkti 7 kohaselt on „vastutav töötleja“ füüsiline või juriidiline isik, avaliku sektori asutus, amet või muu organ, kes üksi või koos teistega määrab kindlaks isikuandmete töötlemise eesmärgid ja vahendid.(20) Selles õigusnormis on veel sätestatud, et kui sellise töötlemise eesmärgid ja vahendid on kindlaks määratud liikmesriigi õigusega, võib vastutava töötleja või tema määramise konkreetsed kriteeriumid sätestada liikmesriigi õiguses. Mõiste „vastutav töötleja“ niisuguse laia määratlusega püütakse väljakujunenud kohtupraktika kohaselt tagada andmesubjektide tõhusat ja täielikku kaitset.(21)
56. Kui töötlemise eesmärgid ja vahendid on kindlaks määratud riigisisese õigusega, tuleb kõige hiljutisema kohtupraktika kohaselt kontrollida, kas see õigus määrab vastutava töötleja või näeb ette konkreetsed kriteeriumid, mida kohaldatakse tema määramise suhtes. Vastutav töötleja võib riigisisese õigusega olla kindlaks määratud mitte üksnes sõnaselgelt, vaid ka mõttest tulenevalt. Viimasel juhul on siiski nõutav, et kindlaksmääramine tuleneks piisavalt kindlalt asjaomasele isikule või üksusele antud rollist, ülesannetest ja volitustest.(22)
57. Käsitletaval juhul tuleneb kohtutäiturite seaduse artikli 3 lõikest 1, et kohtutäitur on avaliku võimu esindaja, kes teeb toiminguid muu hulgas täitemenetluses, ilma et see piiraks seaduses sätestatud erandite kohaldamist. Lisaks – ja nagu on mainitud eespool – ilmneb kohtuasja materjalidest, et kui sundtäitmine puudutab andmebaase, seisnevad need toimingud andmebaasides olevate isikuandmete kohta päringute tegemises ning andmete lugemises ja kasutamises nende andmebaaside väärtuse hindamise raames oksjonil võõrandamise eesmärgil, samuti andmebaaside ostja käsutusse andmises, kui pakkumine on lõplik. Mulle näib, et Poola õiguses on seega vähemalt mõttest tulenevalt kindlaks määratud kohtutäituripoolse isikuandmete töötlemise eesmärgid ja vahendid.
58. Sellest tuleneb, et kohtutäiturit kui avaliku võimu esindajat, kelle ülesanne on viia läbi ükskõik missugune täitemenetlus, sh niisugune, mis puudutab andmebaasi, võib käsitletaval juhul pidada vastavate isikuandmete vastutavaks töötlejaks isikuandmete kaitse üldmääruse artikli 4 punkti 7 tähenduses.
59. Eelotsusetaotluse esitanud kohus ei maini ühtegi Poola õigusnormi, millega oleks võlgnikust äriühingule NMW kehtestatud kohustused teha kohtutäituriga koostööd, et viimane saaks hinnata kõnesolevate andmebaaside väärtust nende müügi eesmärgil.
60. Ei saa välistada, et niisugused kohustused eeldavad muud isikuandmete töötlemist isikuandmete kaitse üldmääruse tähenduses, mille eest see äriühing vastutab. Tuleb meenutada, et kohtuotsuses Valsts ieņēmumu dienests (isikuandmete töötlemine maksustamise eesmärgil) leidis Euroopa Kohus, et see, kui ettevõtja edastab liikmesriigi maksuhaldurile isikuandmeid ja annab neid viimase käsutusse, olles õiguslikult kohustatud neid esitama, eeldab niisugust isikuandmete töötlemist, lisandudes töötlemisele, millega tegeleb maksuhaldur nõude kaudu, millega ta palub need andmed edastada ja enda käsutusse anda.(23)
61. Vähem tõenäoline, ehkki teoreetiliselt mõeldav on see, et kohtutäiturit ja võlgnikust äriühingut NMW võib pidada kaasvastutavateks töötlejateks, kes töötlevad kõnesolevaid isikuandmeid sundmüügi eesmärgil. Niisugune järeldus on mõeldav kohtuotsuse État belge (ametliku väljaande töödeldavad andmed) kohaselt juhul, kui eri töötlemistoiminguid ühendavad riigisiseses õiguses kindlaks määratud eesmärgid ja vahendid ning selles õiguses on määratletud iga kaasvastutava töötleja vastavad kohustused.(24)
62. Seda arvestades rajaneb järgnev analüüs käsitletava juhtumi asjaoludest lähtudes eeldusel, et kohtutäitur on põhikohtuasjas ainus vastutav töötleja.
63. Vastutava töötlejana ei ole kohtutäitur mitte ainult vastutav isikuandmete töötlemist reguleerivate põhimõtete järgimise eest,(25) vaid talle on kehtestatud ka suur hulk kohustusi, millele vastavad andmesubjektide õigused.(26) Neid kohustusi saab piirata üksnes liikmesriigi seadusandja isikuandmete kaitse üldmääruse artiklis 23 ette nähtud tingimustel. Kui Poola valitsusele esitati kohtuistungil küsimus, kas Poola õiguses on niisuguseid sätteid, viitas tema üksnes andmebaaside kaitse seaduse artiklile 4. Selle artikliga on piiratud siiski ainult avalikku ülesannet täitva vastutava töötleja isikuandmete kaitse üldmääruse artikli 14 („Teave, mis tuleb esitada juhul, kui isikuandmed ei ole saadud andmesubjektilt“) lõigetest 1, 2 ja 4 tulenevate kohustuste ulatust.
b) Kõnesolevate isikuandmete töötlemise seaduslikkus
64. Nagu Euroopa Kohus on korduvalt otsustanud, peab igasugune isikuandmete töötlemine olema muu hulgas kooskõlas määruse artikli 5 lõikes 1 sätestatud andmetöötluspõhimõtetega ja vastama sama määruse artiklis 6 loetletud seaduslikkuse tingimustele.(27)
65. Selle määruse artikli 6 lõike 1 esimeses lõigus on esitatud nende juhtumite ammendav ja piiratud loetelu, mil isikuandmete töötlemise võib kvalifitseerida seaduslikuks. Selleks kvalifitseerimine eeldab, et töötlemine kuulub nendest juhtumitest ühe alla. Tuleb aga meenutada, et kõnesolev töötlemine ei kuulu selles sättes nimetatud peamise juhtumi alla, st juhtumi alla, kus andmesubjekt on andnud nõusoleku töödelda oma isikuandmeid ühel või mitmel konkreetsel eesmärgil.(28) Nagu ilmneb eelotsusetaotlusest, ei ole põhikohtuasjas esitatud ühtegi tõendit selle kohta, et andmesubjektid, kelle isikuandmeid kõnesolevatesse andmebaasidesse koguti, oleksid andnud oma nõusoleku selleks, et nende andmed edastatakse kolmandatele isikutele väljaspool platvormiga M. seotud tegevust, ja muu hulgas selleks, et need müüakse täitemenetluse tulemusena.
66. Eelotsusetaotluse esitanud kohtu sõnul võib kohtutäituripoolne töötlemine kuuluda isikuandmete kaitse üldmääruse artikli 6 lõike 1 esimese lõigu punkti c (isikuandmete töötlemine on vajalik vastutava töötleja seadusjärgse kohustuse täitmiseks) või selle määruse artikli 6 lõike 1 esimese lõigu punkti e alla (isikuandmete töötlemine on vajalik avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks).(29)
67. Nagu märgib eelotsusetaotluse esitanud kohus, on kohtutäiturite seaduse artikliga 3 antud kohtutäiturile avaliku võimu esindaja staatus. Minu arvates on raske väita, et sundtäitmise läbiviimise raames talle usaldatud toimingud, mille eesmärk on võlausaldaja nõuete rahuldamine, ei väljenda selle avaliku võimu ülesande täitmist, mis on kohtutäiturile antud.
68. Samuti on keeruline asuda seisukohale, et isikuandmete kaitse üldmääruse artikli 6 lõike 1 esimese lõigu punktis c nimetatud juhtum on kohaldatav käsitletava juhtumi suhtes. Tuleb märkida, et selle õigusnormi kohaldamisala on rangelt piiratud. Nagu ilmneb artikli 29 töörühma arvamusest 6/2014(30), peab vastutavale töötlejale seadusega kehtestatud kohustus olema piisavalt selge isikuandmete töötlemise osas, mida see eeldab. See tähendab konkreetselt niisuguste õigusnormide olemasolu, milles on sõnaselgelt mainitud töötlemise laadi ja eset.(31)
69. Käsitletaval juhul ei arva ma, et sätted, millele eelotsusetaotluse esitanud kohus on viidanud, st kohtutäiturite seaduse artikli 3 lõike 1, artikli 9 lõike 1 punkti 1 ja artikli 31 lõike 1 esimese lause ning tsiviilkohtumenetluse seadustiku artikli 796 lõike 1 ja artikli 799 lõike 1 esimese lause võib kvalifitseerida sellisteks õigusnormideks, sest nendest sätetest ilmneb ainult, et kohtutäitur on avaliku võimu esindajana kohustatud reageerima igale avaldusele, mille ese on sundtäitmine, kõikidel lubatud viisidel. Täpsemalt tundub, et Poola õigusega ei ole kehtestatud kohtutäiturile seadusest tulenevat kohustust viia läbi isikuandmeid sisaldava andmebaasi sundmüük. Selles küsimuses tuleb märkida, et tsiviilkohtumenetluse seadustiku artikli 831 lõike 1 punkt 3 välistab sundtäitmise „võõrandamatute õiguste“ suhtes, mida võib mõista kui keeldu võõrandada andmebaas juhul, kui see on isikuandmete kaitse üldmäärusega vastuolus.
70. Igal juhul ei ole vaja välistada, et ka viimane juhtum võib käsitletaval juhul asjakohane olla. Kuigi piisab, et kohaldatav on üks seaduslikkuse juhtum, nagu kinnitab isikuandmete kaitse üldmääruse artikli 6 lõike 1 esimese lõigu sõnastus, on Euroopa Kohus nõustunud, et üks ja sama töötlemine võib vastata nendest juhtumitest mitmele.(32)
71. Kõnesolev töötlemine ei kuulu minu meelest seega selle seaduslikkuse juhtumi alla, mida on nimetatud isikuandmete kaitse üldmääruse artikli 6 lõike 1 esimese lõigu punktis e.
72. Tuleb märkida, et see juhtum eeldab, et arvesse võetakse ühte teist töötlemise seaduslikkuse tingimust. Isikuandmete kaitse üldmääruse artikli 6 lõikes 3 on nimelt täpsustatud, et selle määruse artikli 6 lõike 1 punktis e osutatud isikuandmete töötlemise alus kehtestatakse liidu õigusega või vastutava töötleja suhtes kohaldatava liikmesriigi õigusega, see peab vastama avalikku huvi pakkuvale eesmärgile ja olema taotletava õiguspärase eesmärgiga proportsionaalne.(33)
73. Isikuandmete kaitse üldmääruse artikli 6 lõike 1 esimese lõigu punkt e koostoimes selle määruse artikli 6 lõikega 3 nõuavad seega, et eksisteeriks õiguslik alus – mis võib olla ette nähtud riigisiseses õiguses – isikuandmete töötlemiseks selliste vastutavate töötlejate poolt, kes täidavad avaliku võimu ülesannet, nagu teeb kohtutäitur, kui viib läbi sundtäitmist äriühingu vara suhtes.(34)
74. Minu arvates koosneb see õiguslik alus kõikidest Poola õigusnormidest, millele on viidatud käesoleva ettepaneku punkti 67 viimases lauses, millest ilmneb, et kohtutäitur kui avaliku võimu esindaja on kohustatud reageerima igale avaldusele, mille ese on sundtäitmine, kõikidel lubatud viisidel.
75. Küsimus, kas kõnesolev isikuandmete töötlemine on isikuandmete kaitse üldmäärusega kooskõlas, eeldab lõpuks, et käsitletakse täiendavat õiguslikku probleemi, mis on käesoleva kohtuasja keskmes.
76. Juhin tähelepanu, et kohtutäituripoolse isikuandmete töötlemise eesmärk, st platvormi M. kasutajate andmete baaside sundmüük selleks, et rahuldada äriühingu NMW võlausaldajate nõuded, erineb selle äriühingu poolse isikuandmete töötlemise esialgsest eesmärgist, milleks oli võimaldada kasutada platvormi M. selle äriühingu müügitegevusega seotud vajadusteks.
77. On vaja meenutada, et isikuandmete kaitse üldmääruse artikli 5 lõike 1 punkti b kohaselt, milles on sätestatud „eesmärgi piirangu“ põhimõte, kogutakse isikuandmeid esiteks täpselt ja selgelt kindlaksmääratud ning õiguspärastel eesmärkidel ning teiseks ei töödelda neid edaspidi viisil, mis on nende eesmärkidega vastuolus. Viimati viidatud õigusnormis ei ole mingit teavet selle kohta, millistel tingimustel võib isikuandmete edasist töötlemist pidada nende andmete algse kogumise eesmärkidega kooskõlas olevaks.(35)
78. Isikuandmete kaitse üldmääruse artikli 6 lõikest 4, tõlgendatuna koostoimes selle määruse põhjendusega 50,(36) tuleneb, et kooskõla analüüsimisel tuleb arvesse võtta teatavat hulka kriteeriume, mis ei ole selles loetletud ammendavalt.
79. On ilmne, et nende kriteeriumide arvessevõtmine käsitletaval juhul ei saa tuua kaasa positiivset vastust kõnesolevate eesmärkide kooskõla küsimuses. Nagu Euroopa Kohus hiljuti täpsustas, väljendavad need kriteeriumid vajadust, et isikuandmete algse kogumise ja nende andmete edasise töötlemise eesmärkide vahel oleks konkreetne, loogiline ja piisavalt tihe seos, ning võimaldavad veenduda, et see edasine töötlemine ei kalduks kõrvale andmesubjektide õiguspärasest ootusest nende andmete edasise kasutamise suhtes.(37) Käesolevas kohtuasjas ei ole aga võimalik tuvastada niisugust seost.
80. Igal juhul ilmneb isikuandmete kaitse üldmääruse artikli 6 lõike 4 esimesest lausest, et eesmärkide kooskõla on tarvis hinnata ainult siis, „[k]ui isikuandmete töötlemine muul eesmärgil kui see, milleks isikuandmeid koguti, ei põhine andmesubjekti nõusolekul või liidu või liikmesriigi õigusel, mis on demokraatlikus ühiskonnas vajalik ja proportsionaalne meede, et tagada [isikuandmete kaitse üldmääruse] artikli 23 lõikes 1 osutatud eesmärkide täitmine“.
81. Käsitletaval juhul on selge, et platvormi M. kasutajad ei ole andnud oma nõusolekut töötlemiseks muul eesmärgil kui eesmärk, milleks nende isikuandmeid koguti. Nüüd tuleb vastata küsimusele, kas niisugune töötlemine põhineb riigisisesel või liidu õigusel ning kas seda võib pidada demokraatlikus ühiskonnas vajalikuks ja proportsionaalseks meetmeks, et tagada isikuandmete kaitse üldmääruse artikli 23 lõikes 1 osutatud eesmärkide täitmine.
82. Mulle tundub, et selles küsimuses on kõigepealt tarvis täpsustada, et seda juhtumit on Euroopa Kohus tõlgendanud nii, et see kujutab endast tõelist erandit eesmärgi piirangu põhimõttest. Tuginedes isikuandmete kaitse üldmääruse põhjendusele 50, on Euroopa Kohus märkinud, et vastutaval töötlejal on seega lubatud asjaomaseid andmeid edasi töödelda, olenemata sellest, kas töötlemine on kooskõlas eesmärkidega, milleks andmed algul koguti, et kaitsta isikuandmete kaitse üldmääruse artikli 23 lõikes 1 nimetatud olulisi üldist avalikku huvi pakkuvaid eesmärke. Ta on seega järeldanud, et selle määruse artikli 6 lõike 4 esimest lauset kohaldatakse selle suhtes, kui tõendina esitatakse dokument, mis sisaldab kolmandate isikute isikuandmeid, mis on kogutud peamiselt maksukontrolli eesmärgil, milleks on andnud korralduse kohus tsiviilkohtumenetluse raames.(38)
83. Kuigi see tõlgendus ei pruugi olla meeltmööda neile, kes leiavad, et õigust isikuandmete kaitsele peaks saama piirata ainult riigisiseste seadusandlike meetmetega, on see minu arvates täielikus kooskõlas liidu seadusandja kavatsustega. Tuleb meenutada, et nõukogu põhjendused tema seisukoha kohta isikuandmete kaitse üldmääruse ettevalmistavates materjalides väljendavad – võib-olla veel selgemalt kui selle määruse põhjendus 50 – valikut jätta vastutavale töötlejale hoolikalt piiritletud kaalutlusruum, et ta saaks isikuandmeid töödelda eesmärkidel, mis ei ole kooskõlas nendega, mida nimetati töödeldavate isikuandmete kogumise hetkel.(39)
84. Kuna kõnesoleva töötlemise aluseks oleva õigusliku aluse olemasolu käsitletaval juhul on juba tuvastatud, tuleb seejärel kindlaks teha, kas selle töötlemise käigus oleks tagatud isikuandmete kaitse üldmääruse artiklis 23 nimetatud eesmärgid.
85. Märgin, et nende eesmärkide hulgas on vastavalt selle sätte lõike 1 punktile j „tsiviilõiguslike nõuete täitmise tagamine“. Mulle tundub, et kõnesolev isikuandmete töötlemine võib tagada selle eesmärgi saavutamise. Tuleb märkida, et eelotsusetaotluse esitanud kohtu sõnul tuleneb selle töötlemise eesmärk tsiviilkohtumenetluse seadustiku artiklist 911, tõlgendatuna koostoimes kohtutäiturite seaduse artikli 31 lõike 1 esimese lausega, millega on kohtutäiturile antud õigus müüa andmebaas ja edastada seejärel sellest sundmüügist saadud summa võlausaldajale.
86. Küsimus, kas töötlemine, millega kohtutäitur täitemenetluse raames tegeleb, kujutab endast demokraatlikus ühiskonnas vajalikku ja proportsionaalset meedet, et saavutada eesmärk tagada tsiviilõiguslike nõuete täitmine, kuulub eelotsusetaotluse esitanud kohtu pädevusse. Euroopa Kohus peab siiski andma sellele kohtule olemasoleva teabe põhjal kõik sellega seoses vajalikud juhised liidu õigusest lähtudes.(40)
87. Vajalikkuse küsimuses on selge, et meede on vajalik, kui taotletavat õiguspärast eesmärki ei saa saavutada sama sobiva, kuid vähem piirava meetme abil. Teiste sõnadega, kas võlausaldajast äriühingu nõuet on võimalik rahuldada muude meetmetega, mis on sama tõhusad, kuid millega rikutakse vähem platvormi M. kasutajate õigusi eraelu puutumatusele ja isikuandmete kaitsele? Selles küsimuses märgin ainult, et eelotsusetaotluse esitanud kohtu sõnul ei ole võlausaldajast äriühingu nõuet võimalik rahuldada võlgnikust äriühingu vara arvel, viimata läbi kõnesolevate andmebaaside sundmüüki.
88. Mis puudutab proportsionaalsust, siis selle tingimuse hindamiseks on tarvis kaaluda vastandlikke huve, millega on tegemist, lähtudes seejuures analüüsitava juhtumi konkreetsetest asjaoludest.
89. Käsitletaval juhul seisneb esimene nendest huvidest, milleks on Euroopa Liidu põhiõiguste harta (edaspidi „harta“) artikli 8 lõikes 1 ja ELTL artiklis 16 sätestatud põhiõigus, platvormi M. kasutajate kaitses isikuandmete töötlemise vastu. Sellega on tihedalt seotud harta artiklis 7 ette nähtud õigus eraelu puutumatusele. Nagu on märgitud isikuandmete kaitse üldmääruse põhjenduses 4, ei ole õigus isikuandmete kaitsele absoluutne õigus, vaid seda tuleb kaaluda vastavalt selle ülesandele ühiskonnas ning tasakaalustada muude põhiõigustega vastavalt proportsionaalsuse põhimõttele. Üks nendest õigustest on harta artiklis 17 sätestatud õigus omandile. Võlgnikule kuuluva andmebaasi müük täitemenetluses aitab aga minu meelest kaitsta selle isiku õigust omandile, kellel on kohtu tuvastatud nõue.
90. Selles küsimuses tuleb meenutada, et harta artikkel 17 vastab Roomas 4. detsembril 1950 allkirjastatud Euroopa inimõiguste ja põhivabaduste kaitse konventsiooni (edaspidi „EIÕK“) lisaprotokolli artiklile 1, mistõttu on selle tähendus ja ulatus harta artikli 52 lõike 3 kohaselt samad nagu õigustel, mis on EIÕKga antud artiklile 1.
91. EIK praktika kohaselt eeldab õigus omandile, et liikmesriikidel on positiivne kohustus luua kohtuotsuste täitmise süsteem, mis oleks nii praktikas kui ka õiguslikult toimiv ning võimaldaks tagada, et menetlused, mis on õigusaktidega jõustunud kohtuotsuste täitmiseks loodud, viiakse läbi põhjendamatu viivituseta.(41) Kui võlausaldaja on eraõiguslik isik, on riik kohustatud osutama võlausaldajatele asjaomaste kohtuotsuste täitmisel vajalikku abi, näiteks kohtutäituri kaudu.(42) Selles kontekstis on nii, et kui ametiasutused on kohustatud tegutsema kohtuotsuse täitmise tagamiseks ja nad ei tee seda, võib nende tegevusetus kaasa tuua riigi vastuse eelkõige seoses EIÕK lisaprotokolli artikliga 1.(43)
92. Kaaludes, kumb on tähtsam, kas ühelt poolt õigus omandile või teiselt poolt õigus isikuandmete kaitsele ja eraelu puutumatusele, võiks minu arvates arvesse võtta ühte konkreetset asjaolu, mis kohtuasja materjalidest ilmneb.
93. Eelotsusetaotluse kohaselt ei ole ühegi Poola õigusnormiga kehtestatud piiranguid andmebaasi ostja isikut puudutavas subjektiivses plaanis; ainus tingimus on õigusvõime, kusjuures see tühimik tähendab, et kolmandast isikust ostja võib olla ka üksus, kes asub väljaspool Euroopa Liitu ega ole seetõttu kohustatud järgima isikuandmete kaitse üldmäärusega kehtestatud isikuandmete töötlemist käsitlevaid õigusnorme.
94. Niisuguses olukorras näib mulle, et kõnesolev töötlemine tooks kaasa selle, et õigus isikuandmete kaitsele tuuakse liiga suurel määral ohvriks, ja seda ei saa niisiis pidada proportsionaalseks meetmeks. Sellist tulemust võimaldaks vältida näiteks riigisisene õigusnorm, millega kohtutäiturit kohustataks lisama oksjoni eesmärgil koostatavasse oksjonitingimustesse tingimus, et kolmandast isikust ostja peab järgima isikuandmete kaitse üldmääruses sätestatut.
IV. Ettepanek
95. Eelnevate kaalutluste põhjal teen Euroopa Kohtule ettepaneku vastata Sąd Rejonowy dla m. st. Warszawy w Warszawie (Varssavi linna rajoonikohus, Poola) eelotsuse küsimusele järgmiselt:
Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruse (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) artikli 6 lõike 1 esimese lõigu punkti e, lõiget 3 ja lõike 4 esimest lauset
tuleb tõlgendada nii, et
nendega ei ole vastuolus riigisisesed õigusnormid, mis võimaldavad kohtutäituril müüa täitemenetluses isikuandmeid sisaldava andmebaasi, kui andmesubjektid, kelle andmed need on, ei ole andnud oma nõusolekut selleks müügiks, tingimusel et kohtutäituripoolne nende andmete töötlemine kujutab endast demokraatlikus ühiskonnas vajalikku ja proportsionaalset meedet, et tagada tsiviilõigusliku nõude täitmine.