UNIONIN TUOMIOISTUIMEN TUOMIO (kolmas jaosto)

28 päivänä marraskuuta 2024 ( *1 )

Ennakkoratkaisupyyntö – Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä ja näiden tietojen vapaa liikkuvuus – Asetus (EU) 2016/679 – Covid-19-todistuksen laatimisen yhteydessä käsitellyt tiedot – Tiedot, joita ei ole saatu rekisteröidyltä – Toimitettavat tiedot – Poikkeus tietojen toimittamista koskevasta velvollisuudesta – 14 artiklan 5 kohdan c alakohta – Rekisterinpitäjän oman menettelynsä puitteissa tuottamat tiedot – Oikeus tehdä kantelu – Valvontaviranomaisen toimivalta – 77 artiklan 1 kohta – Rekisterinpitäjään sovellettavassa jäsenvaltion lainsäädännössä säädetyt asianmukaiset toimenpiteet rekisteröidyn oikeutettujen etujen suojaamiseksi – Tietojen käsittelyn turvallisuuden takaamiseksi toteutettavat toimenpiteet – 32 artikla

Asiassa C‑169/23 [Másdi] ( i ),

jossa on kyse SEUT 267 artiklaan perustuvasta ennakkoratkaisupyynnöstä, jonka Kúria (ylin yleinen tuomioistuin, Unkari) on esittänyt 8.2.2023 tekemällään päätöksellä, joka on saapunut unionin tuomioistuimeen 17.3.2023, saadakseen ennakkoratkaisun asiassa

Nemzeti Adatvédelmi és Információszabadság Hatóság

vastaan

UC,

UNIONIN TUOMIOISTUIN (kolmas jaosto)

toimien kokoonpanossa: toisen jaoston puheenjohtaja K. Jürimäe, joka hoitaa kolmannen jaoston puheenjohtajan tehtäviä, presidentti K. Lenaerts, joka hoitaa kolmannen jaoston tuomarin tehtäviä, sekä tuomarit N. Jääskinen, M. Gavalec (esittelevä tuomari) ja N. Piçarra,

julkisasiamies: L. Medina,

kirjaaja: A. Calot Escobar,

ottaen huomioon kirjallisessa käsittelyssä esitetyn,

ottaen huomioon huomautukset, jotka sille ovat esittäneet

–

Nemzeti Adatvédelmi és Információszabadság Hatóság, edustajanaan G. J. Dudás, ügyvéd,

–

UC, edustajinaan D. Karsai ja V. Łuszcz, ügyvédek,

–

Unkarin hallitus, asiamiehinään Zs. Biró-Tóth ja M. Z. Fehér,

–

Tšekin hallitus, asiamiehinään L. Březinová, M. Smolek ja J. Vláčil,

–

Euroopan komissio, asiamiehinään A. Bouchagiar, C. Kovács ja H. Kranenborg,

kuultuaan julkisasiamiehen 6.6.2024 pidetyssä istunnossa esittämän ratkaisuehdotuksen,

on antanut seuraavan

tuomion

1

Ennakkoratkaisupyyntö koskee luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) (EUVL 2016, L 119, s. 1) 14 artiklan 1 kohdan ja 5 kohdan c alakohdan, 32 artiklan ja 77 artiklan 1 kohdan tulkintaa.

2

Tämä pyyntö on esitetty asiassa, jossa asianosaisina ovat Nemzeti Adatvédelmi és Információszabadság Hatóság (tietosuojasta ja tiedonvälityksen vapaudesta vastaava kansallinen viranomainen, Unkari; jäljempänä kansallinen viranomainen) ja UC ja jossa on kyse siitä, onko Budapest Főváros Kormányhivatalalla (Budapestin pääkaupunkiseudun hallintoviranomainen, Unkari; jäljempänä todistuksen myöntänyt viranomainen), jonka tehtävänä on myöntää immuniteettitodistuksia henkilöille, jotka on rokotettu covid-19-tautia vastaan tai jotka ovat sairastaneet kyseisen taudin, velvollisuus antaa tietoja henkilötietojen käsittelystä.

Asiassa sovellettavat oikeussäännöt

Unionin oikeus

Yleinen tietosuoja-asetus

3

Yleisen tietosuoja-asetuksen johdanto-osan 1, 10 ja 61–63 perustelukappaleessa todetaan seuraavaa:

”(1)

Luonnollisten henkilöiden suojelu henkilötietojen käsittelyn yhteydessä on perusoikeus. Euroopan unionin perusoikeuskirjan 8 artiklan 1 kohdan – – ja [SEUT] 16 artiklan 1 kohdan mukaan jokaisella on oikeus henkilötietojensa suojaan.

– –

(10)

Jotta voitaisiin varmistaa yhdenmukainen ja korkeatasoinen luonnollisten henkilöiden suojelu ja poistaa henkilötietojen liikkuvuuden esteet [Euroopan] unionissa, luonnollisten henkilöiden oikeuksien ja vapauksien suojelun tason näiden tietojen käsittelyssä olisi oltava vastaava kaikissa jäsenvaltioissa. Luonnollisten henkilöiden perusoikeuksien ja ‑vapauksien suojelua henkilötietojen käsittelyssä koskevien sääntöjen johdonmukainen ja yhtenäinen soveltaminen olisi varmistettava kaikkialla unionissa. Henkilötietojen käsittelyn lakisääteisen velvoitteen noudattamiseksi tai yleisen edun vuoksi toteutettavan tehtävän tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi jäsenvaltioiden olisi voitava pitää voimassa tai ottaa käyttöön kansallisia säännöksiä, joilla tämän asetuksen sääntöjen soveltamista voitaisiin täsmentää entisestään. – –

– –

(61)

Rekisteröidylle olisi ilmoitettava häntä koskevien henkilötietojen käsittelystä tietojen keruun yhteydessä tai, jos henkilötiedot on saatu jostain muusta lähteestä, kohtuullisen ajan kuluessa tietojen keruusta, tapaukseen liittyvät olosuhteet huomioon ottaen. Jos henkilötietoja voidaan laillisesti luovuttaa toiselle vastaanottajalle, rekisteröidylle olisi ilmoitettava tästä silloin, kun henkilötietoja luovutetaan ensimmäisen kerran. Jos rekisterinpitäjä aikoo käsitellä henkilötietoja muuhun tarkoitukseen kuin siihen, jota varten ne on kerätty, rekisterinpitäjän olisi toimitettava rekisteröidylle ennen kyseistä jatkokäsittelyä tiedot tästä muusta tarkoituksesta sekä muut tarvittavat tiedot. Jos rekisteröidylle ei ole voitu ilmoittaa henkilötietojen alkuperää johtuen siitä, että on käytetty useita lähteitä, olisi annettava yleiset tiedot.

(62)

Ei kuitenkaan tarvitse vaatia tietojen antamista silloin kun rekisteröidyllä jo on tämä tieto, kun lainsäädännössä nimenomaisesti säädetään henkilötietojen tallentamisesta tai luovuttamisesta tai kun tietojen toimittaminen rekisteröidylle osoittautuu mahdottomaksi tai vaatisi kohtuutonta vaivaa. – –

(63)

Rekisteröidyllä olisi oltava oikeus saada pääsy henkilötietoihin, joita hänestä on kerätty, sekä mahdollisuus käyttää tätä oikeutta vaivattomasti ja kohtuullisin väliajoin, jotta hän voi pysyä perillä käsittelyn lainmukaisuudesta ja tarkistaa sen. – –”

4

Kyseisen asetuksen 1 artiklan, jonka otsikko on ”Kohde ja tavoitteet”, 2 kohdassa säädetään seuraavaa:

”Tällä asetuksella suojellaan luonnollisten henkilöiden perusoikeuksia ja ‑vapauksia ja erityisesti heidän oikeuttaan henkilötietojen suojaan.”

5

Asetuksen 4 artiklassa, jonka otsikko on ”Määritelmät”, säädetään seuraavaa:

”Tässä asetuksessa tarkoitetaan

1)

’henkilötiedoilla’ kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön, jäljempänä ’rekisteröity’, liittyviä tietoja; – –

2)

’käsittelyllä’ toimintoa tai toimintoja, joita kohdistetaan henkilötietoihin tai henkilötietoja sisältäviin tietojoukkoihin joko automaattista tietojenkäsittelyä käyttäen tai manuaalisesti, kuten tietojen keräämistä, tallentamista, järjestämistä, jäsentämistä, säilyttämistä, muokkaamista tai muuttamista, hakua, kyselyä, käyttöä, tietojen luovuttamista siirtämällä, levittämällä tai asettamalla ne muutoin saataville, tietojen yhteensovittamista tai yhdistämistä, rajoittamista, poistamista tai tuhoamista,

– –

7)

’rekisterinpitäjällä’ luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, joka yksin tai yhdessä toisten kanssa määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot; – –

– –”

6

Yleisen tietosuoja-asetuksen 6 artiklan, jonka otsikko on ”Käsittelyn lainmukaisuus”, 1 kohdassa säädetään seuraavaa:

”Käsittely on lainmukaista ainoastaan jos ja vain siltä osin kuin vähintään yksi seuraavista edellytyksistä täyttyy:

– –

c)

käsittely on tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi;

– –

e)

käsittely on tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi;

– –”

7

Saman asetuksen 9 artiklan, jonka otsikko on ”Erityisiä henkilötietoryhmiä koskeva käsittely”, 1 ja 2 kohdassa säädetään seuraavaa:

”1.   Sellaisten henkilötietojen käsittely, joista ilmenee rotu tai etninen alkuperä, poliittisia mielipiteitä, uskonnollinen tai filosofinen vakaumus tai ammattiliiton jäsenyys sekä geneettisten tietojen käsittely, biometristen tietojen käsittely henkilön yksiselitteistä tunnistamista varten tai terveyttä koskevien tietojen taikka luonnollisen henkilön seksuaalista käyttäytymistä ja suuntautumista koskevien tietojen käsittely on kiellettyä.

2.   Edellä olevaa 1 kohtaa ei sovelleta, jos sovelletaan jotakin seuraavista:

– –

i)

käsittely on tarpeen kansanterveyteen liittyvän yleisen edun vuoksi, kuten vakavilta rajatylittäviltä terveysuhkilta suojautumiseksi tai terveydenhuollon, lääkevalmisteiden tai lääkinnällisten laitteiden korkeiden laatu- ja turvallisuusnormien varmistamiseksi sellaisen unionin oikeuden tai jäsenvaltion lainsäädännön perusteella, jossa säädetään asianmukaisista ja erityisistä toimenpiteistä rekisteröidyn oikeuksien ja vapauksien, erityisesti salassapitovelvollisuuden, suojaamiseksi;

– –”

8

Yleisen tietosuoja-asetuksen III luku, jonka otsikko on ”Rekisteröidyn oikeudet”, käsittää useita jaksoja, muun muassa kyseisen asetuksen jakson 2, jonka otsikko on ”Tietojen toimittaminen ja pääsy henkilötietoihin”.

9

Tässä yleisen tietosuoja-asetuksen 2 jaksossa on 13 artikla, jonka otsikko on ”Toimitettavat tiedot, kun henkilötietoja kerätään rekisteröidyltä”, 14 artikla, jonka otsikko on ”Toimitettavat tiedot, kun henkilötietoja ei ole saatu rekisteröidyltä”, ja 15 artikla, jonka otsikko on ”Rekisteröidyn oikeus saada tutustua tietoihin”.

10

Kyseisen asetuksen 14 artiklassa säädetään seuraavaa:

”1.   Kun tietoja ei ole saatu rekisteröidyltä, rekisterinpitäjän on toimitettava rekisteröidylle seuraavat tiedot:

a)

rekisterinpitäjän ja tämän mahdollisen edustajan identiteetti ja yhteystiedot;

b)

tapauksen mukaan mahdollisen tietosuojavastaavan yhteystiedot;

c)

henkilötietojen käsittelyn tarkoitukset sekä käsittelyn oikeusperuste;

d)

kyseessä olevat henkilötietoryhmät;

e)

mahdolliset henkilötietojen vastaanottajat tai vastaanottajaryhmät;

f)

tarvittaessa tieto siitä, että rekisterinpitäjä aikoo siirtää henkilötietoja kolmannessa maassa olevalle vastaanottajalle tai kansainväliselle järjestölle – –

2.   Edellä 1 kohdassa tarkoitettujen tietojen lisäksi rekisterinpitäjän on toimitettava rekisteröidylle seuraavat tiedot, jotka ovat tarpeen rekisteröidyn kannalta asianmukaisen ja läpinäkyvän käsittelyn takaamiseksi:

a)

henkilötietojen säilytysaika tai jos se ei ole mahdollista, tämän ajan määrittämiskriteerit;

b)

rekisterinpitäjän tai kolmannen osapuolen oikeutetut edut, jos käsittely perustuu 6 artiklan 1 kohdan f alakohtaan;

c)

rekisteröidyn oikeus pyytää rekisterinpitäjältä pääsy häntä itseään koskeviin henkilötietoihin sekä oikeus pyytää kyseisten tietojen oikaisemista tai poistamista taikka käsittelyn rajoittamista ja vastustaa käsittelyä sekä oikeutta siirtää tiedot järjestelmästä toiseen;

d)

oikeus peruuttaa suostumus milloin tahansa tämän vaikuttamatta suostumuksen perusteella ennen sen peruuttamista suoritetun käsittelyn lainmukaisuuteen, jos käsittely perustuu 6 artiklan 1 kohdan a alakohtaan tai 9 artiklan 2 kohdan a alakohtaan;

e)

oikeus tehdä valitus valvontaviranomaiselle;

f)

mistä henkilötiedot on saatu sekä tarvittaessa se, onko tiedot saatu yleisesti saatavilla olevista lähteistä;

g)

– – automaattisen päätöksenteon – – olemassaolo – –.

– –

4.   Jos rekisterinpitäjä aikoo käsitellä henkilötietoja edelleen muuhun tarkoitukseen kuin siihen, johon henkilötiedot kerättiin, rekisterinpitäjän on ilmoitettava rekisteröidylle ennen kyseistä jatkokäsittelyä tästä muusta tarkoituksesta ja annettava kaikki asiaankuuluvat lisätiedot 2 kohdan mukaisesti.

5.   Edellä olevaa 1–4 kohtaa ei sovelleta, jos ja siltä osin kuin

a)

rekisteröidyllä on jo tiedot;

b)

kyseisten tietojen toimittaminen osoittautuu mahdottomaksi tai vaatisi kohtuutonta vaivaa, erityisesti kun käsittely tapahtuu yleisen edun mukaisia arkistointitarkoituksia tai tieteellisiä ja historiallisia tutkimustarkoituksia taikka tilastollisia tarkoituksia varten siten, että noudatetaan 89 artiklan 1 kohdassa esitettyjä edellytyksiä ja suojatoimia, tai niiltä osin kuin tämän artiklan 1 kohdassa tarkoitettu velvollisuus todennäköisesti estää kyseisten tarkoitusten saavuttamisen tai vaikeuttaa sitä suuresti; tällaisissa tapauksissa rekisterinpitäjän on toteutettava asianmukaiset toimenpiteet rekisteröidyn oikeuksien ja vapauksien sekä oikeutettujen etujen suojaamiseksi, mukaan lukien kyseisten tietojen saattaminen julkisesti saataville;

c)

tietojen hankinnasta tai luovuttamisesta säädetään nimenomaisesti rekisterinpitäjään sovellettavassa unionin oikeudessa tai jäsenvaltion lainsäädännössä, jossa vahvistetaan asianmukaiset toimenpiteet rekisteröidyn oikeutettujen etujen suojaamiseksi; tai

d)

tiedot on pidettävä luottamuksellisina, koska niitä koskee unionin oikeuteen tai jäsenvaltion lainsäädäntöön perustuva vaitiolovelvollisuus, kuten lakisääteinen salassapitovelvollisuus.”

11

Mainitun asetuksen 32 artiklassa, jonka otsikko on ”Käsittelyn turvallisuus”, säädetään seuraavaa:

”1.   Ottaen huomioon uusin teknologia, toteuttamiskustannukset, käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset sekä luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuvat, todennäköisyydeltään ja vakavuudeltaan vaihtelevat riskit rekisterinpitäjän ja henkilötietojen käsittelijän on toteutettava riskiä vastaavan turvallisuustason varmistamiseksi asianmukaiset tekniset ja organisatoriset toimenpiteet, kuten

a)

henkilötietojen pseudonymisointi ja salaus;

b)

kyky taata käsittelyjärjestelmien ja ‑palveluiden jatkuva luottamuksellisuus, eheys, käytettävyys ja vikasietoisuus;

c)

kyky palauttaa nopeasti tietojen saatavuus ja pääsy tietoihin fyysisen tai teknisen vian sattuessa;

d)

menettely, jolla testataan, tutkitaan ja arvioidaan säännöllisesti teknisten ja organisatoristen toimenpiteiden tehokkuutta tietojenkäsittelyn turvallisuuden varmistamiseksi.

2.   Asianmukaisen turvallisuustason arvioimisessa on kiinnitettävä huomiota erityisesti käsittelyn sisältämiin riskeihin, erityisesti siirrettyjen, tallennettujen tai muutoin käsiteltyjen henkilötietojen vahingossa tapahtuvan tai laittoman tuhoamisen, häviämisen, muuttamisen, luvattoman luovuttamisen tai henkilötietoihin pääsyn vuoksi.

3.   Jäljempänä 40 artiklassa tarkoitettujen hyväksyttyjen käytännesääntöjen tai 42 artiklassa tarkoitetun hyväksytyn sertifiointimekanismin noudattamista voidaan käyttää yhtenä tekijänä sen osoittamiseksi, että tämän artiklan 1 kohdassa asetettuja vaatimuksia noudatetaan.

4.   Rekisterinpitäjän ja henkilötietojen käsittelijän on toteutettava toimenpiteet sen varmistamiseksi, että jokainen rekisterinpitäjän tai henkilötietojen käsittelijän alaisuudessa toimiva luonnollinen henkilö, jolla on pääsy henkilötietoihin, käsittelee niitä ainoastaan rekisterinpitäjän ohjeiden mukaisesti, ellei unionin oikeudessa tai jäsenvaltion lainsäädännössä toisin vaadita.”

12

Asetuksen 55 artiklan, joka otsikko on ”Toimivalta”, 1 kohdassa säädetään seuraavaa:

”Jokaisella valvontaviranomaisella on sille tämän asetuksen mukaisesti annettujen tehtävien hoitoa ja valtuuksien käyttöä koskeva toimivalta oman jäsenvaltionsa alueella.”

13

Yleisen tietosuoja-asetuksen 57 artiklan, jonka otsikko on ”Tehtävät”, 1 kohdassa säädetään seuraavaa:

”Tämän asetuksen mukaisesti vahvistettuja muita tehtäviä rajoittamatta jokaisen valvontaviranomaisen on alueellaan

a)

valvottava tämän asetuksen soveltamista ja täytäntöönpanoa;

– –

c)

annettava jäsenvaltion lainsäädännön mukaisesti kansalliselle parlamentille, hallitukselle sekä muille toimielimille ja elimille neuvoja luonnollisen henkilön oikeuksien ja vapauksien suojelua käsittelyssä koskevista lainsäädännöllisistä ja hallinnollisista toimenpiteistä;

– –”

14

Tämän asetuksen 58 artiklan, jonka otsikko on ”Valtuudet”, 3 kohdassa säädetään seuraavaa:

”Jokaisella valvontaviranomaisella on kaikki seuraavat hyväksymis- ja neuvontavaltuudet:

– –

b)

antaa omasta aloitteestaan tai pyynnöstä lausuntoja kansalliselle parlamentille, jäsenvaltion hallitukselle tai jäsenvaltion lainsäädännön mukaisesti muille toimielimille ja elimille sekä yleisölle kaikista henkilötietojen suojaan liittyvistä kysymyksistä;

– –”

15

Mainitun asetuksen 77 artiklan, jonka otsikko on ”Oikeus tehdä kantelu valvontaviranomaiselle”, 1 kohdassa säädetään seuraavaa:

”Jokaisella rekisteröidyllä on oikeus tehdä kantelu valvontaviranomaiselle, erityisesti siinä jäsenvaltiossa, jossa hänen vakinainen asuinpaikkansa tai työpaikkansa on taikka jossa väitetty rikkominen on tapahtunut, jos rekisteröity katsoo, että häntä koskevien henkilötietojen käsittelyssä rikotaan tätä asetusta, sanotun kuitenkaan rajoittamatta muita hallinnollisia muutoksenhakukeinoja tai oikeussuojakeinoja.”

16

Yleisen tietosuoja-asetuksen 78 artiklan, jonka otsikko on ”Oikeus tehokkaisiin oikeussuojakeinoihin valvontaviranomaista vastaan”, sanamuoto on seuraava:

”1.   Jokaisella luonnollisella henkilöllä tai oikeushenkilöllä on oikeus tehokkaisiin oikeussuojakeinoihin itseään koskevaa valvontaviranomaisen oikeudellisesti sitovaa päätöstä vastaan, sanotun kuitenkaan rajoittamatta muita hallinnollisia muutoksenhakukeinoja tai muita kuin oikeudellisia oikeussuojakeinoja.

2.   Jokaisella rekisteröidyllä on oikeus tehokkaisiin oikeussuojakeinoihin, jos 55 ja 56 artiklan nojalla toimivaltainen valvontaviranomainen ei ole käsitellyt kantelua tai ilmoittanut rekisteröidylle kolmen kuukauden kuluessa 77 artiklan nojalla tehdyn kantelun etenemisestä tai ratkaisusta, sanotun kuitenkaan rajoittamatta muita hallinnollisia muutoksenhakukeinoja tai muita kuin oikeudellisia oikeussuojakeinoja.

3.   Oikeudellinen menettely valvontaviranomaista vastaan on pantava vireille sen jäsenvaltion tuomioistuimissa, johon valvontaviranomainen on sijoittautunut.

4.   Jos oikeudellisen menettelyn kohteena on sellainen valvontaviranomaisen päätös, jota edelsi tietosuojaneuvoston yhdenmukaisuusmekanismin puitteissa antama lausunto tai päätös, valvontaviranomaisen on toimitettava kyseinen lausunto tai päätös tuomioistuimelle.”

Asetus (EU) 2021/953

17

Kehyksestä covid-19-tautiin liittyvien yhteentoimivien rokotusta, testausta ja taudista parantumista koskevien todistusten (EU:n digitaalinen koronatodistus) myöntämiseksi, todentamiseksi ja hyväksymiseksi helpottamaan henkilöiden vapaata liikkuvuutta covid-19-pandemian aikana 14.6.2021 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2021/953 (EUVL 2021, L 211, s. 1) 10 artiklan otsikko on ”Henkilötietojen suoja”, ja sen 1 kohdassa säädettiin seuraavaa:

”Tämän asetuksen täytäntöönpanon yhteydessä suoritettavaan henkilötietojen käsittelyyn sovelletaan [yleistä tietosuoja-asetusta].”

Unkarin lainsäädäntö

18

Koronavirukselta suojaavalta immuniteetilta annettavasta todistuksesta 12.2.2021 annetun hallituksen asetuksen 60/2021 (koronavírus elleni védettségi igazolásról szóló 60/2021. (II.12.) Korm. rendelet; jäljempänä asetus nro 60/2021), sellaisena kuin sitä sovelletaan pääasiassa, 2 §:n 1 momentissa säädetään seuraavaa:

”Immuniteettitodistuksessa mainitaan

a)

rekisteröidyn nimi;

b)

rekisteröidyn passin numero, jos hänellä on passi;

c)

rekisteröidyn pysyvän henkilökortin numero, jos hänellä on henkilökortti;

d)

immuniteettitodistuksen sarjanumero;

e)

jos esitetään todiste rokotuksesta, rokotuksen päivämäärä;

f)

jos esitetään todistus sairastetusta taudista, todistuksen viimeinen voimassaolopäivä;

g)

tietoteknisellä laitteella optisesti luettava koodi, johon on tallennettu edellä a–f kohdassa mainitut tiedot;

h)

seuraavat tiedot:

ha)

’Todistuksen kanssa on esitettävä henkilökortti tai passi’

hb)

’Todistusta ei voi siirtää toiselle’

hc)

’Todistukseen liittyvät oikeudet voi tarkastaa internetsivustolla koronavirus.gov.hu’.”

19

Asetuksen nro 60/2021 2 §:n 6 ja 7 momentin mukaan immuniteettitodistuksen antaa viran puolesta tai hakemuksesta todistuksen myöntänyt viranomainen luonnolliselle henkilölle, joka on siihen oikeutettu.

20

Kyseisen asetuksen 3 §:n 3 momentissa säädetään seuraavaa:

”Edellä 2 §:n 6 momentin c ja d kohdassa tarkoitetuissa tapauksissa todistuksen myöntänyt viranomainen kerää automaattisesti – ja tarvittaessa összerendelési nyilvántartásin [tunnistetietojen sähköinen hallintarekisteri] asiasta vastaavien yksiköiden välityksellä – seuraavat tiedot:

a)

EESZT:n [Elektronikus Egészségügyi Szolgáltatási Tér (sähköisten terveyspalvelujen palveluinfrastruktuuri)] ylläpitäjältä seuraavat tiedot: rekisteröidyn sosiaaliturvatunnus, 2 §:n 1 momentin e ja g kohdassa tarkoitetut tiedot sekä 1 momentissa tarkoitetut tiedot;

b)

henkilö- ja osoitetietojen rekisteröinnistä vastaavalta laitokselta seuraavat tiedot: rekisteröidyn nimi, rekisteröidyn passin ja pysyvän henkilökortin numero tai tunniste sekä rekisteröidyn osoite.”

Pääasia ja ennakkoratkaisukysymykset

21

Luonnollinen henkilö UC sai todistuksen myöntäneeltä viranomaiselta asetuksen nro 60/2021 mukaisesti immuniteettitodistuksen, jossa vahvistettiin hänen saaneen rokotuksen covid-19:ää vastaan.

22

UC käynnisti 30.4.2021 henkilötietojensa käsittelyä koskevan hallinnollisen menettelyn tekemällä kansalliselle viranomaiselle yleisen tietosuoja-asetuksen 77 artiklan 1 kohtaan perustuvan kantelun, jotta todistuksen myöntänyt viranomainen määrättäisiin saattamaan käsittelytoimensa yleisen tietosuoja-asetuksen säännösten mukaisiksi. Kantelussaan kantaja väitti muun muassa, ettei todistuksen myöntänyt viranomainen ollut laatinut ja julkaissut ilmoitusta immuniteettitodistusten antamiseen liittyvien henkilötietojen suojasta ja ettei käsittelyn tarkoituksesta ja oikeusperusteesta, rekisteröidyn oikeuksista ja siitä, miten näitä oikeuksia voitiin käyttää, ollut toimitettu riittävästi tietoja.

23

Tämän kantelun perusteella aloitetussa menettelyssä todistuksen myöntänyt viranomainen ilmoitti suorittavansa immuniteettitodistuksen myöntämiseen liittyviä tehtäviään asetuksen nro 60/2021 2 §:n perusteella, kun taas henkilötietojen käsittelyn oikeudellisena perustana ovat yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan e alakohta ja kyseisen asetuksen 9 artiklan 2 kohdan i alakohta siltä osin kuin kyse on erityisiin ryhmiin kuuluvien henkilötietojen käsittelystä.

24

Lisäksi todistuksen myöntänyt viranomainen ilmoitti saaneensa käsittelemänsä henkilötiedot toiselta elimeltä asetuksen nro 60/2021 säännösten mukaisesti. Se katsoi tämän perusteella, että yleisen tietosuoja-asetuksen 14 artiklan 5 kohdan c alakohdan nojalla sen ei tarvinnut toimittaa tietoja kyseisten tietojen käsittelystä. Se kuitenkin laati ja julkaisi internetsivustollaan vaaditun henkilötietojen suojaa koskevan ilmoituksen.

25

Kansallinen viranomainen hylkäsi UC:n vaatimuksen 15.11.2021 tekemällään päätöksellä ja totesi, ettei todistuksen myöntäneellä viranomaisella ollut velvollisuutta toimittaa tietoja, koska kyseinen henkilötietojen käsittely kuului yleisen tietosuoja-asetuksen 14 artiklan 5 kohdan c alakohdassa säädetyn poikkeuksen soveltamisalaan.

26

Kansallinen viranomainen katsoi erityisesti, että asetus nro 60/2021 oli käsittelyn oikeusperusta ja että siinä nimenomaisesti velvoitettiin todistuksen myöntänyt viranomainen keräämään kyseessä olevat tiedot. Kyseisen viranomaisen mukaan se, että todistuksen myöntänyt viranomainen julkaisee tietoja suorittamastaan henkilötietojen käsittelystä omalla internetsivustollaan, oli hyvä käytäntö eikä lakisääteinen velvollisuus.

27

Lisäksi kansallinen viranomainen tutki viran puolesta, oliko olemassa yleisen tietosuoja-asetuksen 14 artiklan 5 kohdan c alakohdan loppuosassa tarkoitettuja asianmukaisia toimenpiteitä rekisteröidyn oikeutettujen etujen suojaamiseksi, ja katsoi, että asetuksen nro 60/2021 2, 3 ja 5–7 §:n säännöksiä oli pidettävä tällaisina.

28

UC nosti tästä päätöksestä hallinnollisen kanteen Fővárosi Törvényszékissä (Budapestin alioikeus, Unkari), joka kumosi mainitun päätöksen ja määräsi kyseisen viranomaisen aloittamaan uuden menettelyn.

29

Kyseinen tuomioistuin katsoi tuomiossaan, että yleisen tietosuoja-asetuksen 14 artiklan 5 kohdan c alakohdassa säädettyä poikkeusta ei voitu soveltaa, koska rekisterinpitäjä ei saanut tiettyjä immuniteettitodistusten yhteydessä esitettyjä henkilötietoja toiselta elimeltä, vaan tämä rekisterinpitäjä tuotti ne itse tehtäviään hoitaessaan. Mainitun tuomioistuimen mukaan asia oli näin immuniteettitodistuksen sarjanumeron, sairastuneelle henkilölle myönnetyn todistuksen viimeisen voimassaolopäivän, todistuksessa olevan QR-koodin, todistuksen toimituskirjeessä olevien viivakoodien ja muiden aakkosnumeeristen koodien sekä rekisterinpitäjän asianhallintaprosessista saatujen henkilötietojen osalta. Saman tuomioistuimen mukaan ainoastaan toiselta elimeltä saadut henkilötiedot saattoivat kuulua yleisen tietosuoja-asetuksen 14 artiklan 5 kohdan c alakohdassa säädetyn poikkeuksen soveltamisalaan.

30

Kansallinen viranomainen teki Kúrialle (ylin tuomioistuin, Unkari), joka on ennakkoratkaisua pyytänyt tuomioistuin, kyseisestä tuomiosta ylimääräisen muutoksenhaun.

31

Ennakkoratkaisua pyytänyt tuomioistuin pohtii tässä yhteydessä ensinnäkin sitä, voidaanko yleisen tietosuoja-asetuksen 14 artiklan 5 kohdan c alakohdassa säädettyä poikkeusta soveltaa kaikkeen muuhun henkilötietojen käsittelyyn kuin käsittelyyn, joka koskee rekisteröidyltä saatuja henkilötietoja.

32

Mikäli tähän vastataan myöntävästi, ennakkoratkaisua pyytänyt tuomioistuin pohtii, onko valvontaviranomaisella yleisen tietosuoja-asetuksen 77 artiklan 1 kohdan mukaisen kantelumenettelyn yhteydessä toimivalta selvittää kyseisen poikkeuksen sovellettavuuden ratkaisemiseksi, säädetäänkö rekisterinpitäjän kansallisessa lainsäädännössä asianmukaisista toimenpiteistä rekisteröidyn oikeutettujen etujen suojaamiseksi.

33

Mikäli tähän vastataan myöntävästi, ennakkoratkaisua pyytänyt tuomioistuin tiedustelee lopuksi, koskeeko tämä selvitys myös niiden toimenpiteiden asianmukaisuutta, jotka rekisterinpitäjän on yleisen tietosuoja-asetuksen 32 artiklan nojalla toteutettava henkilötietojen käsittelyn turvallisuuden varmistamiseksi.

34

Tässä tilanteessa Kúria on päättänyt lykätä asian käsittelyä ja esittää unionin tuomioistuimelle seuraavat ennakkoratkaisukysymykset:

”1)

Onko [yleisen tietosuoja-asetuksen] 14 artiklan 5 kohdan c alakohtaa, luettuna yhdessä 14 artiklan 1 kohdan ja johdanto-osan 62 perustelukappaleen kanssa, tulkittava siten, että 14 artiklan 5 kohdan c alakohdassa säädetty poikkeus ei koske rekisterinpitäjän oman menettelynsä puitteissa tuottamia tietoja vaan ainoastaan tietoja, jotka rekisterinpitäjä on saanut nimenomaisesti toiselta henkilöltä?

2)

Jos yleisen tietosuoja-asetuksen 14 artiklan 5 kohdan c alakohtaa sovelletaan myös rekisterinpitäjän oman menettelynsä puitteissa tuottamiin tietoihin, onko yleisen tietosuoja-asetuksen 77 artiklan 1 kohdassa vahvistettua oikeutta tehdä kantelu valvontaviranomaiselle tulkittava siten, että luonnollinen henkilö, joka katsoo, että tietojen toimittamista koskevaa velvollisuutta on jätetty noudattamatta, voi kanteluoikeutta käyttäessään vaatia myös tutkimaan, vahvistetaanko jäsenvaltion lainsäädännössä asianmukaiset toimenpiteet rekisteröidyn oikeutettujen etujen suojaamiseksi yleisen tietosuoja-asetuksen 14 artiklan 5 kohdan c alakohdan mukaisesti?

3)

Jos toiseen kysymykseen vastataan myöntävästi, voidaanko yleisen tietosuoja-asetuksen 14 artiklan 5 kohdan c alakohtaa tulkita siten, että kyseisessä säännöksessä mainituilla ”asianmukaisilla toimenpiteillä” tarkoitetaan sitä, että kansallisen lainsäätäjän on saatettava tietosuoja-asetuksen 32 artiklassa tarkoitetut turvatoimet osaksi kansallista lainsäädäntöä (oikeussääntöjen avulla)?”

35

Unionin tuomioistuin kehotti 16.1.2024 asianosaisia ja Euroopan unionin tuomioistuimen perussäännön 23 artiklassa tarkoitettuja osapuolia vastaamaan kirjallisesti tiettyihin kysymyksiin unionin tuomioistuimen työjärjestyksen 61 artiklan 1 kohdan mukaisesti. Pääasian kantaja ja vastaaja, Unkarin ja Tšekin hallitukset sekä Euroopan komissio vastasivat näihin kysymyksiin.

Ennakkoratkaisukysymysten tarkastelu

Ensimmäinen kysymys

36

Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee ensimmäisellä kysymyksellään lähinnä, onko yleisen tietosuoja-asetuksen 14 artiklan 5 kohdan c alakohtaa tulkittava siten, että kyseisessä säännöksessä säädetty poikkeus tietojen toimittamista rekisteröidylle koskevasta rekisterinpitäjän velvollisuudesta koskee ainoastaan henkilötietoja, jotka rekisterinpitäjä on saanut muulta kuin rekisteröidyltä, vai siten, että se koskee myös henkilötietoja, jotka rekisterinpitäjä on itse tuottanut tehtäviään suorittaessaan.

37

Kyseisen asetuksen 14 artiklan 1, 2 ja 4 kohdassa määritetään tiedot, jotka rekisterinpitäjä on velvollinen antamaan mainitun asetuksen 4 artiklan 1 alakohdassa tarkoitetulle rekisteröidylle, kun henkilötietoja ei ole saatu rekisteröidyltä.

38

Saman asetuksen 14 artiklan 5 kohdassa säädetään poikkeuksista kyseiseen velvollisuuteen. Kyseisen 5 kohdan c alakohdassa säädetään yhtenä poikkeuksena, että kyseistä velvollisuutta ei sovelleta, jos ja siltä osin kuin tietojen hankinnasta tai luovuttamisesta säädetään nimenomaisesti rekisterinpitäjään sovellettavassa unionin oikeudessa tai jäsenvaltion lainsäädännössä, jossa vahvistetaan asianmukaiset toimenpiteet rekisteröidyn oikeutettujen etujen suojaamiseksi.

39

Sen määrittämiseksi, kattaako tämä poikkeus henkilötiedot, jotka rekisterinpitäjä itse on tehtäviään suorittaessaan tuottanut muulta henkilöltä kuin rekisteröidyltä hankittujen tietojen perusteella, vakiintuneen oikeuskäytännön mukaan on otettava huomioon paitsi sen säännöksen sanamuoto, jossa poikkeuksesta säädetään, myös kyseisen säännöksen asiayhteys ja sillä säännöstöllä tavoitellut päämäärät, jonka osa säännös on (ks. vastaavasti tuomio 12.1.2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, 32 kohta oikeuskäytäntöviittauksineen).

40

Ensinnäkin on määritettävä yleisen tietosuoja-asetuksen 14 artiklan 5 kohdan c alakohdan sanamuodon perusteella tässä säännöksessä tarkoitetun ”hankinnan tai luovuttamisen” kohde.

41

Mainitun säännöksen eri kieliversiot eroavat ensinnäkin jonkin verran toisistaan. Kyseisen säännöksen ranskankielisessä versiossa viitataan ”tietojen” [ranskaksi informations] hankintaan tai luovuttamiseen, kun taas ensinnäkin unkarinkielisessä (”adat”), vironkielisessä (”isikuandmed”), kroaatinkielisessä (”podataka”), liettuankielisessä (”duomenų”), hollanninkielisessä (”gegevens”), portugalinkielisessä (”dados”), romaniankielisessä (”datelor”) sekä ruotsinkielisessä (”uppgifter”) versiossa viitataan ”tietojen” [ranskaksi données] hankintaan tai luovuttamiseen, toiseksi suomenkielinen versio sisältää termin (”tietojen”), joka voi tarkoittaa sekä ”tietoja” [ranskaksi données, unkariksi adatokra] että ”tietoja” [ranskaksi informations, unkariksi információkra], ja kolmanneksi bulgarian-, espanjan-, tšekin-, tanskan-, saksan-, kreikan-, englannin-, italian-, latvian-, maltan-, puolan-, slovakin- ja sloveeninkielisissä versioissa ei mainita hankinnan tai luovuttamisen kohdetta.

42

Niin ikään vakiintuneen oikeuskäytännön mukaan jossakin kieliversiossa käytettyä unionin oikeuden säännöksen sanamuotoa ei voida käyttää tämän säännöksen ainoana tulkintaperusteena eikä sille voida antaa etusijaa muihin kieliversioihin nähden. Unionin oikeuden säännöksiä on nimittäin tulkittava ja sovellettava yhtenäisesti kaikilla unionin kielillä laadittujen kieliversioiden valossa. Unionin oikeuden säännöksen erikielisten versioiden poiketessa toisistaan kyseessä olevaa säännöstä on tulkittava sen lainsäädännön systematiikan ja tavoitteen mukaan, jonka osa säännös on (tuomio 21.3.2024, Cobult, C‑76/23, EU:C:2024:253, 25 kohta oikeuskäytäntöviittauksineen).

43

Yleisen tietosuoja-asetuksen systematiikasta on todettava, että kyseisen asetuksen 14 artiklan 5 kohtaa on luettava sen johdanto-osan 61 ja 62 perustelukappaleen valossa, joissa viitataan yhtäältä saatuihin henkilötietoihin ja luovutettaviin henkilötietoihin sekä siihen, ”kun lainsäädännössä nimenomaisesti säädetään henkilötietojen tallentamisesta tai luovuttamisesta”, ja toisaalta annettaviin tietoihin. Tulkintaa, jonka mukaan yleisen tietosuoja-asetuksen 14 artiklan 5 kohdan c alakohdassa tarkoitettu ”hankinta tai luovuttaminen” koskee henkilötietoja, tukee lisäksi yleisen tietosuoja-asetuksen 4 artiklan 2 alakohdassa tarkoitetun ”käsittelyn” käsitteen, joka kattaa kaikki henkilötietoihin kohdistettavat toimet, laaja ulottuvuus (ks. vastaavasti tuomio 5.10.2023, Ministerstvo zdravotnictví (Covid-19-mobiilisovellus), C‑659/22, EU:C:2023:745, 27 kohta oikeuskäytäntöviittauksineen).

44

Sen lainsäädännön tarkoituksesta, johon yleisen tietosuoja-asetuksen 14 artiklan 5 kohdan c alakohta kuuluu, on riittävää huomauttaa, kuten julkisasiamies totesi ratkaisuehdotuksensa 31 kohdassa, että kyseisen poikkeuksen tarkoitus perustuu siihen, että kyseisen asetuksen 14 artiklan 1, 2 ja 4 kohdassa asetettu velvollisuus toimittaa tietoja rekisteröidylle ei ole perusteltu silloin, kun jossakin toisessa unionin tai jäsenvaltion oikeuden säännöksessä riittävän täysimääräisesti ja pakottavasti velvoitetaan rekisterinpitäjä antamaan rekisteröidylle tietoja henkilötietojen hankinnasta tai luovuttamisesta. Kyseisen 14 artiklan 5 kohdan c alakohdan soveltamisalaan kuuluvassa tilanteessa rekisteröidyillä on nimittäin oltava riittävät tiedot näiden tietojen hankinnan tai luovuttamisen yksityiskohdista ja tarkoituksista.

45

Näin ollen yleisen tietosuoja-asetuksen 14 artiklan 5 kohdan c alakohdan kaikkien kieliversioiden sanamuodon perusteella on katsottava, että tämä säännös on ymmärrettävä siten, että siinä viitataan henkilötietojen hankintaan tai luovuttamiseen.

46

Toiseksi on todettava, että yleisen tietosuoja-asetuksen 14 artiklan 5 kohdan c alakohdan sanamuodossa ei rajoiteta siinä säädettyä poikkeusta ainoastaan henkilötietoihin, jotka rekisterinpitäjä on hankkinut muulta kuin rekisteröidyltä, eikä siinä suljeta pois tietoja, jotka rekisterinpitäjä on itse tuottanut tehtäviään hoitaessaan tällaisten tietojen perusteella.

47

Tästä seuraa, että henkilötietoja, jotka rekisterinpitäjä on ”hankkinut” mainitussa säännöksessä tarkoitetussa merkityksessä, ovat kaikki henkilötiedot, jotka rekisterinpitäjä kerää muulta kuin rekisteröidyltä, ja henkilötiedot, jotka rekisterinpitäjä itse on tehtäviään suorittaessaan tuottanut muulta henkilöltä kuin rekisteröidyltä hankittujen tietojen perusteella.

48

Toiseksi on huomattava, että yleisen tietosuoja-asetuksen 14 artiklan aineellinen soveltamisala on määritelty negatiivisesti kyseisen asetuksen 13 artiklaan nähden. Kuten näiden säännösten otsikoistakin ilmenee, kyseisessä 13 artiklassa säädetään toimitettavista tiedoista, kun henkilötietoja kerätään rekisteröidyltä, kun taas kyseisessä 14 artiklassa säädetään toimitettavista tiedoista, kun henkilötietoja ei ole saatu rekisteröidyltä. Tästä kahtiajaosta seuraa, että kaikki tapaukset, joissa henkilötietoja ei ole saatu rekisteröidyltä, kuuluvat 14 artiklan aineelliseen soveltamisalaan.

49

Näin ollen yleisen tietosuoja-asetuksen 13 ja 14 artiklan tulkinnasta yhdessä seuraa, että sekä henkilötiedot, jotka rekisterinpitäjä on hankkinut muulta henkilöltä kuin rekisteröidyltä, että rekisterinpitäjän itse tuottamat tiedot, joita ei luonteensa vuoksi ole myöskään saatu rekisteröidyltä, kuuluvat tämän 14 artiklan soveltamisalaan. Tästä seuraa, että kyseisessä 14 artiklan 5 kohdan c alakohdassa säädetty poikkeus kattaa nämä kaksi tietojen ryhmää.

50

Kolmanneksi yleisen tietosuoja-asetuksen 14 artiklan 5 kohdan c alakohtaa on tulkittava yhdenmukaisesti kyseisen asetuksen tavoitteen kanssa, jona on muun muassa – kuten sen 1 artiklasta, luettuna yhdessä sen johdanto-osan ensimmäisen ja kymmenennen perustelukappaleen kanssa, ilmenee – taata luonnollisten henkilöiden perusoikeuksien ja ‑vapauksien sekä erityisesti heidän perusoikeuskirjan 8 artiklan 1 kohdassa ja SEUT 16 artiklan 1 kohdassa vahvistetun yksityisyyttä koskevan oikeutensa korkeatasoinen suoja henkilötietojen käsittelyssä (ks. vastaavasti tuomio 7.3.2024, IAB Europe, C‑604/22, EU:C:2024:214, 53 kohta oikeuskäytäntöviittauksineen).

51

Tältä osin yleisen tietosuoja-asetuksen johdanto-osan 63 perustelukappaleesta ilmenee, että unionin lainsäätäjä on halunnut, että kyseisessä asetuksessa tarkoitetulla rekisteröidyllä on oikeus saada pääsy hänestä kerättyihin henkilötietoihin, jotta hän voi saada tietää tietojen käsittelystä ja tarkistaa sen lainmukaisuuden.

52

Rekisterinpitäjä voi vapautua sillä tavanomaisesti olevasta tietojen toimittamista rekisteröidylle koskevasta velvollisuudesta sillä edellytyksellä, että rekisteröity voi valvoa henkilötietojaan ja käyttää yleisen tietosuoja-asetuksen mukaisia oikeuksiaan.

53

Kyseisen asetuksen tavoitteen mukaisesti yleisen tietosuoja-asetuksen 14 artiklan 5 kohdan c alakohdassa säädetty poikkeus tietojen toimittamista rekisteröidylle koskevasta velvollisuudesta edellyttää yhtäältä, että siitä, että rekisterinpitäjä hankkii tai luovuttaa henkilötietoja, säädetään nimenomaisesti kyseiseen rekisterinpitäjään sovellettavassa unionin oikeudessa tai jäsenvaltion lainsäädännössä. Toisaalta tässä oikeudessa tai lainsäädännössä on säädettävä asianmukaisista toimenpiteistä rekisteröidyn oikeutettujen etujen suojaamiseksi.

54

Tästä seuraa, että jotta kyseisen asetuksen 14 artiklan 5 kohdan c alakohdan soveltaminen olisi täysin yleisen tietosuoja-asetuksen tavoitteen mukaista, sen soveltamisen edellytyksenä on kyseisessä säännöksessä säädettyjen edellytysten tarkka noudattaminen eli muun muassa se, että rekisteröidyn suojan taso vastaa vähintään kyseisen asetuksen 14 artiklan 1–4 kohdassa taattua tasoa.

55

Edellä esitetyn perusteella ensimmäiseen kysymykseen on vastattava, että yleisen tietosuoja-asetuksen 14 artiklan 5 kohdan c alakohtaa on tulkittava siten, että kyseisessä säännöksessä säädetty poikkeus tietojen toimittamista rekisteröidylle koskevasta rekisterinpitäjän velvollisuudesta koskee erotuksetta kaikkia henkilötietoja, joita rekisterinpitäjä ei ole saanut suoraan rekisteröidyltä, riippumatta siitä, onko rekisterinpitäjä hankkinut nämä tiedot muulta henkilöltä kuin rekisteröidyltä vai onko rekisterinpitäjä itse tuottanut ne tehtäviään suorittaessaan.

Toinen ja kolmas kysymys

56

Toisella ja kolmannella kysymyksellään, joita on tarkasteltava yhdessä, ennakkoratkaisua pyytänyt tuomioistuin tiedustelee lähinnä, onko yleisen tietosuoja-asetuksen 14 artiklan 5 kohdan c alakohtaa ja 77 artiklan 1 kohtaa tulkittava siten, että valvontaviranomainen on kantelumenettelyn yhteydessä toimivaltainen selvittämään, säädetäänkö rekisterinpitäjään sovellettavassa jäsenvaltion lainsäädännössä asianmukaisista toimenpiteistä rekisteröidyn oikeutettujen etujen suojaamiseksi kyseisen 14 artiklan 5 kohdan c alakohdassa säädetyn poikkeuksen soveltamiseksi, ja jos vastaus on myöntävä, koskeeko tämä selvittäminen myös niiden toimenpiteiden asianmukaisuutta, jotka rekisterinpitäjän on kyseisen asetuksen 32 artiklan nojalla toteutettava henkilötietojen käsittelyn turvallisuuden varmistamiseksi.

57

Ensiksi on palautettava mieleen, että yleisen tietosuoja-asetuksen 77 artiklan 1 kohdan mukaan jokaisella rekisteröidyllä on oikeus tehdä kantelu valvontaviranomaiselle, jos rekisteröity katsoo, että häntä koskevien henkilötietojen käsittelyssä rikotaan kyseistä asetusta.

58

Valvontaviranomaisten toimivallan osalta mainitun asetuksen 55 artiklan 1 kohdassa säädetään, että jokaisella valvontaviranomaisella on sille saman asetuksen mukaisesti annettujen tehtävien hoitoa ja valtuuksien käyttöä koskeva toimivalta oman jäsenvaltionsa alueella.

59

Näiden tehtävien osalta yleisen tietosuoja-asetuksen 57 artiklan 1 kohdan a alakohdassa säädetään, että jokaisen valvontaviranomaisen on valvottava asetuksen soveltamista ja täytäntöönpanoa.

60

Yleisessä tietosuoja-asetuksessa ei ole mitään säännöstä, jonka perusteella tietyt kyseisen asetuksen 14 artiklan 5 kohdan c alakohdassa säädetyn poikkeuksen soveltamista koskevat näkökohdat jäisivät kyseisten valvontaviranomaisten toimivallan ulkopuolelle.

61

Kyseisen säännöksen mukaan rekisterinpitäjän ei tarvitse toimittaa rekisteröidylle yleisen tietosuoja-asetuksen 14 artiklan 1, 2 ja 4 kohdassa tarkoitettuja tietoja, jos ja siltä osin kuin yhtäältä tietojen hankinnasta tai luovuttamisesta säädetään nimenomaisesti rekisterinpitäjään sovellettavassa unionin oikeudessa tai jäsenvaltion lainsäädännössä ja toisaalta tässä oikeudessa tai lainsäädännössä vahvistetaan asianmukaiset toimenpiteet rekisteröidyn oikeutettujen etujen suojaamiseksi.

62

Näin ollen yleisen tietosuoja-asetuksen 77 artiklan 1 kohdan mukainen kantelu voi perustua siihen, että rekisterinpitäjä on laiminlyönyt tietojenantovelvollisuutensa sen vuoksi, että kyseisen asetuksen 14 artiklan 5 kohdan c alakohdassa säädetyn poikkeuksen soveltamisedellytyksiä ei ole noudatettu.

63

Tämän tuomion 61 kohdassa mieleen palautetusta ensimmäisestä edellytyksestä on todettava, että tällaista kantelua käsittelevä valvontaviranomainen voi joutua selvittämään, säädetäänkö unionin oikeudessa tai kansallisessa oikeudessa, että rekisterinpitäjän on hankittava tai luovutettava henkilötietoja.

64

Toisesta edellytyksestä on todettava, että – kuten julkisasiamies totesi ratkaisuehdotuksensa 67 ja 69 kohdassa – yleisessä tietosuoja-asetuksessa ei täsmennetä ilmaisua ”asianmukaiset toimenpiteet rekisteröidyn oikeutettujen etujen suojaamiseksi”. Unionin oikeuden tai kansallisen oikeuden säännöksissä, joissa säädetään tällaisista toimenpiteistä ja joita sovelletaan rekisterinpitäjään, on kuitenkin taattava, kuten tämän tuomion 54 kohdassa todetaan, rekisteröidyn henkilötietojen käsittelyn osalta vähintään samantasoinen suoja kuin se, josta kyseisen asetuksen 14 artiklan 1–4 kohdassa säädetään. Kyseisten säännösten on siis oltava sellaisia, että rekisteröity voi valvoa henkilötietojaan ja käyttää yleisessä tietosuoja-asetuksessa hänelle annettuja oikeuksia.

65

Tätä varten on erityisesti tärkeää, että mainituissa säännöksissä ilmoitetaan selkeästi ja ennakoitavalla tavalla se lähde, josta rekisteröity saa tietoja häntä koskevien henkilötietojen käsittelystä.

66

Kun kyse on henkilötietojen toimittamisesta jäsenvaltion elinten välillä ja siitä, että rekisterinpitäjä tuottaa tällaisia tietoja muulta henkilöltä kuin rekisteröidyltä hankittujen tietojen perusteella, on todettava, että jos rekisteröity on tehnyt kantelun, valvontaviranomaisen on selvitettävä muun muassa, määritelläänkö asiaa koskevassa kansallisessa oikeudessa tai unionin oikeudessa riittävän täsmällisesti erityyppiset henkilötiedot, jotka on hankittava tai luovutettava, sekä henkilötiedot, jotka rekisterinpitäjä joutuu tuottamaan tehtäviään hoitaessaan, ja säädetäänkö tässä oikeudessa, millä tavoin rekisteröidyllä on tosiasiallisesti pääsy yleisen tietosuoja-asetuksen 14 artiklan 1, 2 ja 4 kohdassa tarkoitettuihin tietoihin.

67

Kuten komissio korostaa kirjallisissa huomautuksissaan, se, että valvontaviranomainen selvittää, täyttyvätkö kaikki yleisen tietosuoja-asetuksen 14 artiklan 5 kohdan c alakohdassa säädetyn poikkeuksen soveltamisedellytykset, ei kuitenkaan merkitse asiaa koskevien kansallisen oikeuden säännösten pätevyyden tutkintaa. Valvontaviranomainen lausuu yksinomaan siitä, onko rekisterinpitäjällä tietyssä tapauksessa oikeus vedota kyseisessä säännöksessä säädettyyn poikkeukseen rekisteröidyn osalta.

68

Tällaisen selvityksen lopputuloksesta on muistutettava, että kyseisen asetuksen 78 artiklan mukaan on niin, että jos valvontaviranomainen päättää tietyssä tapauksessa, että rekisteröidyn kantelu on perusteeton, rekisteröidyllä on oltava jäsenvaltiossaan oikeus tehokkaisiin oikeussuojakeinoihin kyseisen hylkäävän päätöksen osalta.

69

Jos kyseinen viranomainen sitä vastoin katsoo, että kantelu on perusteltu ja että mainitun asetuksen 14 artiklan 5 kohdan c alakohdassa säädetyn poikkeuksen soveltamisedellytykset eivät täyty, se velvoittaa rekisterinpitäjän toimittamaan tiedot rekisteröidylle saman asetuksen 14 artiklan 1, 2 ja 4 kohdan mukaisesti.

70

Toiseksi siitä, onko tämän selvityksen koskettava myös niiden toimenpiteiden asianmukaisuutta yleisen tietosuoja-asetuksen 32 artiklan kannalta, jotka rekisterinpitäjän on toteutettava käsittelyn turvallisuuden varmistamiseksi, on korostettava, että kyseisen asetuksen 14 artiklan 5 kohdan c alakohdassa säädetään poikkeuksesta ainoastaan mainitun asetuksen 14 artiklan 1, 2 ja 4 kohdassa säädettyyn tietojenantovelvollisuuteen eikä siinä säädetä poikkeuksesta velvoitteisiin, jotka sisältyvät saman asetuksen muihin säännöksiin, kuten sen 32 artiklaan.

71

Kyseisessä 32 artiklassa velvoitetaan rekisterinpitäjä ja sen mahdollinen henkilötietojen käsittelijä toteuttamaan asianmukaiset tekniset ja organisatoriset toimenpiteet henkilötietojen käsittelyn riittävän turvallisuustason varmistamiseksi. Näiden toimenpiteiden asianmukaisuus on arvioitava konkreettisesti ottaen huomioon kyseessä olevaan käsittelyyn liittyvät riskit ja arvioiden, onko näiden toimenpiteiden luonne, sisältö ja täytäntöönpano mukautettu näihin riskeihin (ks. vastaavasti tuomio 14.12.2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, 42, 46 ja 47 kohta ja tuomio 25.1.2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, 37 ja 38 kohta).

72

Näiden kahden säännöksen sanamuodon perusteella on todettava, että yleisen tietosuoja-asetuksen 32 artiklassa vahvistetut velvollisuudet, joita on noudatettava kaikissa tapauksissa ja riippumatta siitä, onko kyseisen asetuksen 14 artiklan nojalla olemassa tietojenantovelvollisuus, ovat luonteeltaan ja ulottuvuudeltaan erilaisia kuin kyseisessä 14 artiklassa säädetty tietojenantovelvollisuus.

73

Kun kyse on yleisen tietosuoja-asetuksen 77 artiklan 1 kohdan mukaisesta kantelusta, joka on tehty sillä perusteella, että rekisterinpitäjä on virheellisesti vedonnut kyseisen asetuksen 14 artiklan 5 kohdan c alakohdassa säädettyyn poikkeukseen, niiden selvitysten kohdetta, jotka valvontaviranomaisen on suoritettava, rajaa siis ainoastaan mainitun asetuksen 14 artiklan soveltamisala, eikä asetuksen 32 artiklan noudattamista ole selvitettävä.

74

Edellä esitetyn perusteella toiseen ja kolmanteen kysymykseen on vastattava, että yleisen tietosuoja-asetuksen 14 artiklan 5 kohdan c alakohtaa ja 77 artiklan 1 kohtaa on tulkittava siten, että valvontaviranomaisella on kantelumenettelyn yhteydessä toimivalta selvittää, säädetäänkö rekisterinpitäjään sovellettavassa jäsenvaltion lainsäädännössä asianmukaisista toimenpiteistä rekisteröidyn oikeutettujen etujen suojaamiseksi kyseisen 14 artiklan 5 kohdan c alakohdassa säädetyn poikkeuksen soveltamiseksi. Tämä selvitys ei kuitenkaan koske niiden toimenpiteiden asianmukaisuutta, jotka rekisterinpitäjän on kyseisen asetuksen 32 artiklan nojalla toteutettava henkilötietojen käsittelyn turvallisuuden varmistamiseksi.

Oikeudenkäyntikulut

75

Pääasian asianosaisten osalta asian käsittely unionin tuomioistuimessa on välivaihe kansallisessa tuomioistuimessa vireillä olevan asian käsittelyssä, minkä vuoksi kansallisen tuomioistuimen asiana on päättää oikeudenkäyntikulujen korvaamisesta. Oikeudenkäyntikuluja, jotka ovat aiheutuneet muille kuin näille asianosaisille huomautusten esittämisestä unionin tuomioistuimelle, ei voida määrätä korvattaviksi.
 

Näillä perusteilla unionin tuomioistuin (kolmas jaosto) on ratkaissut asian seuraavasti:
 

1)

Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) 14 artiklan 5 kohdan c alakohtaa

on tulkittava siten, että

kyseisessä säännöksessä säädetty poikkeus tietojen toimittamista rekisteröidylle koskevasta rekisterinpitäjän velvollisuudesta koskee erotuksetta kaikkia henkilötietoja, joita rekisterinpitäjä ei ole saanut suoraan rekisteröidyltä, riippumatta siitä, onko rekisterinpitäjä hankkinut nämä tiedot muulta henkilöltä kuin rekisteröidyltä vai onko rekisterinpitäjä itse tuottanut ne tehtäviään suorittaessaan.

 

2)

Asetuksen 2016/679 14 artiklan 5 kohdan c alakohtaa ja 77 artiklan 1 kohtaa

on tulkittava siten, että

valvontaviranomaisella on kantelumenettelyn yhteydessä toimivalta selvittää, säädetäänkö rekisterinpitäjään sovellettavassa jäsenvaltion lainsäädännössä asianmukaisista toimenpiteistä rekisteröidyn oikeutettujen etujen suojaamiseksi kyseisen 14 artiklan 5 kohdan c alakohdassa säädetyn poikkeuksen soveltamiseksi. Tämä selvitys ei kuitenkaan koske niiden toimenpiteiden asianmukaisuutta, jotka rekisterinpitäjän on kyseisen asetuksen 32 artiklan nojalla toteutettava henkilötietojen käsittelyn turvallisuuden varmistamiseksi.

 

Allekirjoitukset

( *1 ) Oikeudenkäyntikieli: unkari.

( i ) Tämän asian nimi on kuvitteellinen nimi. Se ei vastaa asian minkään asianosaisen todellista nimeä.