–

Nemzeti Adatvédelmi és Információszabadság Hatóság, esindaja: ügyvéd G. J. Dudás,

–

UC, esindajad: ügyvédek D. Karsai ja V. Łuszcz,

–

Ungari valitsus, esindajad: Zs. Biró-Tóth ja M. Z. Fehér,

–

Tšehhi valitsus, esindajad: L. Březinová, M. Smolek ja J. Vláčil,

–

Euroopa Komisjon, esindajad: A. Bouchagiar, C. Kovács ja H. Kranenborg,

1

Eelotsusetaotlus käsitleb küsimust, kuidas tõlgendada Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruse (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT 2016, L 119, lk 1; edaspidi „üldmäärus“) artikli 14 lõiget 1 ja lõike 5 punkti c, artiklit 32 ning artikli 77 lõiget 1.

2

Taotlus on esitatud Nemzeti Adatvédelmi és Információszabadság Hatósági (riiklik andmekaitse- ja teabevabadusamet, Ungari) (edaspidi „riiklik amet“) ja UC vahelises kohtuvaidluses selle üle, kas Budapest Főváros Kormányhivatalal (Budapesti pealinnavalitsus, Ungari) (edaspidi „väljastav asutus“), kelle ülesanne on väljastada COVID‑19 vastu vaktsineeritud või haiguse läbipõdenud isikutele immuunsustõendeid, on seoses isikuandmete töötlemisega teavitamiskohustus.

Õiguslik raamistik

Liidu õigus

Üldmäärus

3

Üldmääruse põhjendustes 1, 10 ja 61–63 on märgitud:

4

Määruse artikli 1 „Reguleerimisese ja eesmärgid“ lõikes 2 on sätestatud:

5

Määruse artiklis 4 „Mõisted“ on sätestatud:

6

Üldmääruse artikli 6 „Isikuandmete töötlemise seaduslikkus“ lõikes 1 on ette nähtud:

7

Määruse artikli 9 „Isikuandmete eriliikide töötlemine“ lõigetes 1 ja 2 on sätestatud:

8

Üldmääruse III peatükk „Andmesubjekti õigused“ sisaldab mitut jagu, sealhulgas 2. jagu „Teave ja juurdepääs isikuandmetele“.

9

Üldmääruse 2. jaos sisalduvad artikkel 13 „Teave, mis tuleb anda juhul, kui isikuandmed on kogutud andmesubjektilt“, artikkel 14 „Teave, mis tuleb esitada juhul, kui isikuandmed ei ole saadud andmesubjektilt“ ja artikkel 15 „Andmesubjekti õigus tutvuda andmetega“.

10

Määruse artikkel 14 on sõnastatud järgmiselt:

11

Määruse artikkel 32 „Töötlemise turvalisus“ on sõnastatud järgmiselt:

12

Määruse artikli 55 „Pädevus“ lõikes 1 on sätestatud:

13

Üldmääruse artikli 57 „Ülesanded“ lõikes 1 on ette nähtud:

14

Määruse artikli 58 „Volitused“ lõikes 3 on sätestatud:

15

Määruse artikli 77 „Õigus esitada järelevalveasutusele kaebus“ lõikes 1 on ette nähtud:

16

Üldmääruse artikkel 78 „Õigus tõhusale õiguskaitsevahendile järelevalveasutuse vastu“ on sõnastatud järgmiselt:

Määrus (EL) 2021/953

17

Euroopa Parlamendi ja nõukogu 14. juuni 2021. aasta määruse (EL) 2021/953, millega kehtestatakse koostalitlusvõimeliste COVID‑19 vaktsineerimis-, testimis- ja läbipõdemistõendite (ELi digitaalne COVID‑tõend) väljaandmise, kontrollimise ja aktsepteerimise raamistik, et hõlbustada vaba liikumist COVID‑19 pandeemia ajal (ELT 2021, L 211, lk 1), artikli 10 „Isikuandmete kaitse“ lõikes 1 oli ette nähtud:

Ungari õigus

18

Valitsuse 12. veebruari 2021. aasta määruse nr 60/2021 (II.12.) koroonaviiruse immuunsustõendi kohta (a koronavírus elleni védettségi igazolásról szóló 60/2021. (II.12.) Korm. rendelet) põhikohtuasjas kohaldatavas redaktsioonis (edaspidi „määrus nr 60/2021“) on § 2 lõikes 1 sätestatud:

19

Määruse nr 60/2021 § 2 lõigete 6 ja 7 kohaselt väljastab immuunsustõendi väljastav asutus omal algatusel või taotluse põhjal füüsilisele isikule, kellel on õigus seda saada.

20

Määruse nr 60/2021 § 3 lõikes 3 on sätestatud:

Põhikohtuasi ja eelotsuse küsimused

21

UC, kes on füüsiline isik, sai väljastavalt asutuselt immuunsustõendi, mis tõendas, et ta on vaktsineeritud COVID‑19 vastu vastavalt määrusele nr 60/2021.

22

UC algatas 30. aprillil 2021 teda puudutavate isikuandmete töötlemise haldusmenetluse, esitades riiklikule ametile üldmääruse artikli 77 lõike 1 alusel kaebuse, et väljastavat asutust kohustataks kooskõlastama oma andmetöötlustoimingud üldmääruse sätetega. Ta heitis oma kaebuses muu hulgas ette, et väljastav asutus ei ole koostanud immuunsustõendite väljastamisega seotud isikuandmete töötlemise kohta teabelehte ega seda avaldanud ning et puudub piisav teave andmete töötlemise eesmärgi ja õigusliku aluse kohta ning selle kohta, millised õigused on andmesubjektil ja kuidas neid saab kasutada.

23

Esitatud kaebuse tulemusel algatatud menetluses kinnitas väljastav asutus, et ta täitis oma kohustusi seoses immuunsustõendite väljastamisega vastavalt määruse nr 60/2021 §‑le 2 ning et töötlemise õiguslik alus oli üldmääruse artikli 6 lõike 1 punkt e ja isikuandmete eriliikide töötlemise osas üldmääruse artikli 9 lõike 2 punkt i.

24

Väljastav asutus märkis samuti, et ta on kogunud isikuandmed, mida ta töötleb, kooskõlas määruse nr 60/2021 sätetega muult organilt. Ta märkis selle põhjal, et ta ei olnud üldmääruse artikli 14 lõike 5 punktist c tulenevalt kohustatud andma teavet nende andmete töötlemise kohta. Sellegipoolest oli ta koostanud asjasse puutuvate andmete töötlemise kohta teabelehe ja avaldanud selle oma veebisaidil.

25

Riiklik amet jättis 15. novembri 2021. aasta otsusega UC kaebuse rahuldamata ja tegi järelduse, et väljastav asutus ei ole kohustatud andma teavet, kuna kõnealuse isikuandmete töötlemise suhtes on kohaldatav üldmääruse artikli 14 lõike 5 punktis c sätestatud erand.

26

Konkreetselt väljendas see amet seisukohta, et töötlemise õiguslik alus oli määrus nr 60/2021 ja et sellega oli väljastavale asutusele antud sõnaselge korraldus neid andmeid koguda. Riiklik amet leidis, et see, et väljastav asutus avaldas oma veebisaidil teavet isikuandmete töötlemise kohta, kujutab endast head tava, mitte seadusest tulenevat kohustust.

27

Lisaks analüüsis riiklik amet omal algatusel, kas on olemas andmesubjekti õigustatud huvide kaitsmiseks mõeldud asjakohased meetmed üldmääruse artikli 14 lõike 5 punkti c teise lauseosa tähenduses, ja sedastas, et määruse nr 60/2021 §‑de 2 ja 3 ning 5–7 sätted tuleb lugeda sellisteks meetmeteks.

28

UC esitas selle otsuse peale kaebuse Fővárosi Törvényszékile (Pealinna Budapesti kohus, Ungari), kes tühistas otsuse ja kohustas riiklikku ametit uut menetlust läbi viima.

29

Nimetatud kohus märkis oma kohtuotsuses, et üldmääruse artikli 14 lõike 5 punktis c sätestatud erand ei ole kohaldatav, sest mõningaid immuunsustõendiga seotud isikuandmeid ei kogunud vastutav töötleja muult organilt, vaid vastutav töötleja tekitas need oma ülesannete täitmise käigus. Sellised andmed on nimetatud kohtu hinnangul immuunsustõendi seerianumber, tõendi kehtivusaeg haiguse läbipõdemise korral, kaardi QR‑kood, triipkood ja muud tähtnumbrilised koodid, mis on kättetoimetamise tõendil, ning kõik isikuandmed, mis tekivad seoses juhtumite menetlemisega vastutava töötleja tegevuse käigus. Sama kohtu hinnangul võis üldmääruse artikli 14 lõike 5 punktis c ette nähtud erand hõlmata üksnes muult organilt saadud isikuandmeid.

30

Riiklik amet esitas selle kohtuotsuse peale erakorralist õiguskaitsevahendit kasutades kassatsioonkaebuse Kúriale (Ungari kõrgeim kohus).

31

Eelotsusetaotluse esitanud kohus soovib selles kontekstis kõigepealt teada, kas üldmääruse artikli 14 lõike 5 punktis c ette nähtud erandit saab kohaldada igasuguse isikuandmete töötlemise suhtes, välja arvatud andmesubjektilt saadud isikuandmete töötlemise suhtes.

32

Jaatava vastuse korral soovib eelotsusetaotluse esitanud kohus teada, kas üldmääruse artikli 77 lõike 1 alusel toimuva kaebemenetluse raames on järelevalveasutus pädev selle erandi kohaldatavuse üle otsustamiseks kontrollima, kas vastutava töötleja riigisiseses õiguses on ette nähtud asjakohased meetmed andmesubjekti õigustatud huvide kaitsmiseks.

33

Kui see on nii, siis soovib eelotsusetaotluse esitanud kohus lõpuks teada, kas see kontroll hõlmab ka nende meetmete asjakohasust, mida vastutav töötleja peab isikuandmete töötlemise turvalisuse tagamiseks rakendama vastavalt üldmääruse artiklile 32.

34

Neil asjaoludel otsustas Kúria (kõrgeim kohus) menetluse peatada ja esitada Euroopa Kohtule järgmised eelotsuse küsimused:

35

Euroopa Kohus palus 16. jaanuaril 2024 Euroopa Liidu Kohtu põhikirja artiklis 23 nimetatud pooltel ja huvitatud isikutel Euroopa Kohtu kodukorra artikli 61 alusel vastata kirjalikult teatavatele küsimustele. Põhikohtuasja kassaator ja vastustaja, Ungari ja Tšehhi valitsus ning Euroopa Komisjon vastasid nendele küsimustele.

Eelotsuse küsimuste analüüs

Esimene küsimus

36

Esimese küsimusega palub eelotsusetaotluse esitanud kohus sisuliselt selgitada, kas üldmääruse artikli 14 lõike 5 punkti c tuleb tõlgendada nii, et selles sättes ette nähtud erand vastutava töötleja kohustusest teavitada andmesubjekti puudutab üksnes isikuandmeid, mille vastutav töötleja on kogunud muult isikult kui andmesubjekt, või puudutab see ka isikuandmeid, mille vastutav töötleja on tekitanud oma ülesannete täitmise käigus.

37

Üldmääruse artikli 14 lõigetes 1, 2 ja 4 on kindlaks määratud teave, mille vastutav töötleja on kohustatud andmesubjektile sama määruse artikli 4 punkti 1 tähenduses esitama, kui isikuandmed ei ole saadud andmesubjektilt.

38

Sama määruse artikli 14 lõikes 5 on ette nähtud erandid sellest kohustusest. Nende erandite hulgas on lõike 5 punktis c ette nähtud, et kohustust ei kohaldata, kui ja sel määral, mil isikuandmete saamine või avaldamine on selgesõnaliselt sätestatud vastutava töötleja suhtes kohaldatavas liidu või liikmesriigi õiguses, milles nähakse ette asjakohased meetmed andmesubjekti õigustatud huvide kaitsmiseks.

39

Selleks, et teha kindlaks, kas see erand hõlmab isikuandmeid, mille vastutav töötleja on ise oma ülesannete täitmise käigus tekitanud andmete põhjal, mis ta on saanud muult isikult kui andmesubjektilt, on Euroopa Kohtu praktikas välja kujunenud, et liidu õigusnormi tõlgendamisel ei tule arvesse võtta mitte ainult selle sõnastust, vaid ka konteksti ja selle õigusaktiga taotletavaid eesmärke, mille osa see säte on (vt selle kohta 12. jaanuari 2023. aasta kohtuotsus Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, punkt 32 ja seal viidatud kohtupraktika).

40

Esimesena tuleb üldmääruse artikli 14 lõike 5 punkti c sõnastust arvestades kindlaks määrata selles sättes viidatud „saamise või avaldamise“ ese.

41

Nimelt on esiteks selle sätte erinevate keeleversioonide vahel lahknevusi. Sama sätte prantsuskeelses versioonis on viidatud „teabe“ saamisele või avaldamisele, samas kui kõigepealt ungari- (adat), eesti- (isikuandmed), horvaadi- (podataka), leedu- (duomenų), hollandi- (gegevens), portugali- (dados), rumeenia- (datelor) ja rootsikeelses (uppgifter) versioonis on viidatud „andmete“ saamisele või avaldamisele, seejärel sisaldab soomekeelne versioon sõna (tietojen), mis võib hõlmata nii „andmeid“ kui ka „teavet“, ning lõpuks ei ole bulgaaria-, hispaania-, tšehhi-, taani-, saksa-, kreeka-, inglis-, itaalia-, läti-, malta-, poola-, slovaki- ja sloveenikeelses versioonis mainitud saamise või avaldamise eset.

42

Vastavalt samuti väljakujunenud kohtupraktikale ei saa aga liidu õiguse sätte ühes keeleversioonis kasutatud sõnastus olla selle sätte tõlgendamise ainus alus ja sellele keeleversioonile ei saa tõlgendamisel anda muude keeleversioonide ees eelist. Nimelt tuleb liidu õigusnorme tõlgendada ja kohaldada ühetaoliselt, arvestades liidu kõigis keeltes kehtivaid versioone. Kui liidu õigusakti keeleversioonide vahel on erinevusi, tuleb asjaomast sätet tõlgendada lähtuvalt selle õigusakti üldisest ülesehitusest ja eesmärkidest, mille osa see säte on (21. märtsi 2024. aasta kohtuotsus Cobult, C‑76/23, EU:C:2024:253, punkt 25 ja seal viidatud kohtupraktika).

43

Mis puudutab üldmääruse üldist ülesehitust, siis tuleb selle määruse artikli 14 lõiget 5 tõlgendada lähtuvalt selle põhjendustest 61 ja 62, milles on viidatud ühelt poolt „andmete han[kimisele] ja isikuandmete avalda[misele]“ ning juhule, kui „isikuandmete dokumenteerimine või avaldamine on õigusnormides selgelt sätestatud“, ning teiselt poolt „an[tud] [teabele]“ või „teabele, mis tuleb anda“. Tõlgendust, mille kohaselt „saamise või avaldamisega“ üldmääruse artikli 14 lõike 5 punkti c tähenduses peetakse silmas isikuandmeid, kinnitab ka üldmääruse artikli 4 punkti 2 tähenduses mõiste „töötlemine“ lai ulatus, mis hõlmab kõiki isikuandmetega tehtavaid toiminguid (vt selle kohta 5. oktoobri 2023. aasta kohtuotsus Ministerstvo Zdravotnictví (mobiilirakendus COVID‑19), C‑659/22, EU:C:2023:745, punkt 27 ja seal viidatud kohtupraktika).

44

Mis puudutab selle reeglistiku eesmärki, millesse üldmääruse artikli 14 lõike 5 punkt c kuulub, siis piisab selle märkimisest, mida tegi kohtujurist oma ettepaneku punktis 31, et asjaomase erandi ratio legis on asjaolu, et selle määruse artikli 14 lõigetes 1, 2 ja 4 andmesubjektile kehtestatud teavitamiskohustus ei ole põhjendatud, kui mõni muu liidu või liikmesriigi õiguse norm kohustab vastutavat töötlejat piisavalt täielikult ja siduvalt andma sellele isikule teavet isikuandmete saamise või avaldamise kohta. Artikli 14 lõike 5 punkti c kohaldamisalasse kuuluval juhul peavad andmesubjektidel olema piisavad teadmised nende andmete saamise või avaldamise viisist ja eesmärkidest.

45

Järelikult tuleb üldmääruse artikli 14 lõike 5 punkti c sõnastust kõigis selle keeleversioonides arvesse võttes asuda seisukohale, et kõnealust sätet tuleb mõista nii, et see viitab isikuandmete saamisele või avaldamisele.

46

Teiseks tuleb tõdeda, et üldmääruse artikli 14 lõike 5 punkti c sõnastus ei piira selles ette nähtud erandit üksnes isikuandmetega, mille vastutav töötleja on saanud muult isikult kui andmesubjekt, ega välista ka andmeid, mille vastutav töötleja on ise oma ülesannete täitmise käigus selliste andmete põhjal tekitanud.

47

Sellest järeldub, et isikuandmed, mille vastutav töötleja on nimetatud sätte tähenduses „saanud“, on kõik isikuandmed, mida vastutav töötleja on saanud muult isikult kui andmesubjekt, ja isikuandmed, mida vastutav töötleja ise on oma ülesannete täitmise käigus tekitanud muult isikult kui andmesubjekt saadud andmete põhjal.

48

Teisena tuleb märkida, et üldmääruse artikli 14 esemeline kohaldamisala on võrreldes selle määruse artikliga 13 määratletud negatiivselt. Nagu nähtub nende sätete pealkirjadest endist, reguleerib artikkel 13 teavet, mis tuleb anda juhul, kui isikuandmed on kogutud andmesubjektilt, samas kui artikkel 14 puudutab teabe andmist juhul, kui isikuandmed ei ole saadud andmesubjektilt. Seda dihhotoomiat arvesse võttes kuuluvad kõik juhud, mil andmed ei ole saadud andmesubjektilt, artikli 14 materiaalsesse kohaldamisalasse.

49

Seega tuleneb üldmääruse artikli 13 ja 14 tõlgendamisest koostoimes, et nii isikuandmed, mille vastutav töötleja on saanud muult isikult kui andmesubjekt, kui ka andmed, mille vastutav töötleja on ise tekitanud ja mis olemuse poolest ei ole samuti saadud andmesubjektilt, kuuluvad selle artikli 14 kohaldamisalasse. Sellest tuleneb, et artikli 14 lõike 5 punktis c sätestatud erand hõlmab neid kahte liiki andmeid.

50

Kolmandana tuleb tõlgendada üldmääruse artikli 14 lõike 5 punkti c kooskõlas selle määrusega taotletud eesmärgiga, milleks eelkõige on – nagu nähtub artiklist 1 lähtuvalt selle põhjendustest 1 ja 10 – tagada füüsiliste isikute põhiõiguste ja -vabaduste, eelkõige nende õiguse eraelu puutumatusele kõrgetasemeline kaitse, kui töödeldakse isikuandmeid, mis on tagatud harta artikli 8 lõikega 1 ja ELTL artikli 16 lõikega 1 (vt selle kohta 7. märtsi 2024. aasta kohtuotsus IAB Europe, C‑604/22, EU:C:2024:214, punkt 53 ja seal viidatud kohtupraktika).

51

Sellega seoses nähtub üldmääruse põhjendusest 63, et liidu seadusandja soovis, et selleks et olla töötlemisest teadlik ja kontrollida selle seaduslikkust, on andmesubjektil selle määruse tähenduses õigus tutvuda isikuandmetega, mis on tema kohta kogutud.

52

Seega võib vastutava töötleja vabastada teavitamiskohustusest, mis tal tavaliselt andmesubjekti suhtes on, tingimusel et andmesubjekt saab teostada kontrolli oma isikuandmete üle ja kasutada talle üldmäärusega antud õigusi.

53

Vastavalt selle määruse eesmärgile nõuab üldmääruse artikli 14 lõike 5 punktis c ette nähtud erand vastutava töötleja kohustusest teavitada andmesubjekti ühelt poolt seda, et vastutava töötleja poolt isikuandmete saamine või avaldamine on selgesõnaliselt sätestatud vastutava töötleja suhtes kohaldatavas liidu või liikmesriigi õiguses. Teiselt poolt peavad selles õiguses olema ette nähtud asjakohased meetmed andmesubjekti õigustatud huvide kaitsmiseks.

54

Sellest tuleneb, et selleks, et üldmääruse artikli 14 lõike 5 punkti c kohaldamine oleks määrusega taotletava eesmärgiga täielikult kooskõlas, peab selle kohaldamisel olema rangelt järgitud nimetatud sättes ette nähtud tingimusi, see tähendab eelkõige seda, et andmesubjekti kaitse tase peab olema vähemalt samaväärne määruse artikli 14 lõigetes 1–4 tagatud tasemega.

55

Eeltoodud kaalutlusi arvestades tuleb esimesele küsimusele vastata, et üldmääruse artikli 14 lõike 5 punkti c tuleb tõlgendada nii, et selles sättes ette nähtud erand vastutava töötleja kohustusest teavitada andmesubjekti puudutab ühtemoodi kõiki isikuandmeid, mida vastutav töötleja ei ole saanud otse andmesubjektilt, olenemata sellest, kas vastutav töötleja on need andmed saanud muult isikult kui andmesubjekt või on need andmed tekitanud vastutav töötleja ise oma ülesannete täitmise käigus.

Teine ja kolmas küsimus

56

Teise ja kolmanda küsimusega, mida tuleb analüüsida koos, soovib eelotsusetaotluse esitanud kohus sisuliselt teada, kas üldmääruse artikli 14 lõike 5 punkti c ja artikli 77 lõiget 1 tuleb tõlgendada nii, et artikli 14 lõike 5 punktis c sätestatud erandi kohaldamisel on järelevalveasutus kaebemenetluses pädev kontrollima, kas liikmesriigi õiguses, mis on vastutava töötleja suhtes kohaldatav, on ette nähtud asjakohased meetmed andmesubjekti õigustatud huvide kaitsmiseks, ning juhul, kui vastus on jaatav, siis kas see kontroll puudutab samuti nende meetmete asjakohasust, mida vastutav töötleja peab rakendama määruse artikli 32 alusel, et tagada isikuandmete töötlemise turvalisus.

57

Esimesena tuleb meenutada, et ilma et see piiraks muude halduslike või õiguslike kaitsevahendite kohaldamist, on igal andmesubjektil üldmääruse artikli 77 lõike 1 kohaselt õigus esitada kaebus järelevalveasutusele, kui ta on seisukohal, et teda puudutavate isikuandmete töötlemine rikub seda määrust.

58

Mis puudutab järelevalveasutuse pädevust, siis määruse artikli 55 lõikes 1 on ette nähtud, et järelevalveasutus on oma liikmesriigi territooriumil pädev täitma ülesandeid ja kasutama volitusi, mis on talle kooskõlas sama määrusega antud.

59

Nende ülesannetega seoses on üldmääruse artikli 57 lõike 1 punktis a sätestatud, et järelevalveasutus jälgib oma territooriumil määruse kohaldamist ja tagab selle kohaldamise.

60

Üldmäärus ei sisalda ühtegi sätet, mis välistaks selle määruse artikli 14 lõike 5 punktis c ette nähtud erandi kohaldamise teatud aspektid nende järelevalveasutuste pädevusest.

61

Selle sätte kohaselt on vastutav töötleja vabastatud kohustusest esitada andmesubjektile isikuandmete kaitse üldmääruse artikli 14 lõigetes 1, 2 ja 4 osutatud teavet, kui ja sel määral, mil ühelt poolt on isikuandmete saamine või avaldamine on selgesõnaliselt sätestatud vastutava töötleja suhtes kohaldatavas liidu või liikmesriigi õiguses ning teiselt poolt on selles õiguses ette nähtud asjakohased meetmed andmesubjekti õigustatud huvide kaitsmiseks.

62

Seega võib üldmääruse artikli 77 lõike 1 alusel esitatud kaebus põhineda sellel, et vastutav töötleja on rikkunud teavitamiskohustust, kuna ta ei ole täitnud määruse artikli 14 lõike 5 punktis c ette nähtud erandi kohaldamise tingimusi.

63

Mis puudutab esimest tingimust, mida on meenutatud käesoleva kohtuotsuse punktis 61, siis võib sellist kaebust menetleval järelevalveasutusel olla vaja kontrollida, kas liidu või liikmesriigi õiguses on ette nähtud, et vastutav töötleja peab isikuandmeid saama või avaldama.

64

Teise tingimuse kohta tuleb sarnaselt kohtujuristi ettepaneku punktides 67 ja 69 tõdetuga järeldada, et väljendi „asjakohased meetmed andmesubjekti õigustatud huvide kaitsmiseks“ ulatust ei ole üldmääruses täpsustatud. Sellegipoolest peavad liidu või liikmesriigi õiguse sätted, milles on niisugused meetmed ette nähtud ja mis on kohaldatavad vastutava töötleja suhtes, tagama – nagu on märgitud käesoleva kohtuotsuse punktis 54 – andmesubjekti isikuandmete töötlemisel kaitse taseme, mis on vähemalt samaväärne selle määruse artikli 14 lõigetes 1–4 ette nähtud tasemega. Seega peavad need sätted võimaldama andmesubjektil teostada kontrolli oma isikuandmete üle ja kasutada talle üldmäärusega antud õigusi.

65

Selleks on eelkõige oluline, et nendes liikmesriigi või liidu sätetes oleks selgelt ja ettenähtavalt märgitud allikas, kust andmesubjekt saab teavet teda puudutavate isikuandmete töötlemise kohta.

66

Seoses isikuandmete edastamisega liikmesriigi asutuste vahel ja selliste andmete tekitamisega vastutava töötleja poolt muult isikult kui andmesubjektilt saadud andmete põhjal tuleb märkida, et kui andmesubjekt esitab kaebuse, peab järelevalveasutus muu hulgas kontrollima, kas asjaomane riigisisene või liidu õigus määratleb piisava täpsusega eri liiki isikuandmed, mida tuleb saada või avaldada, ning isikuandmed, mida tal tuleb tekitada oma ülesannete täitmise käigus, ning kas selles õiguses on ette nähtud, mil viisil on andmesubjektil tegelik juurdepääs üldmääruse artikli 14 lõigetes 1, 2 ja 4 osutatud teabele.

67

Nagu komisjon oma kirjalikes seisukohtades rõhutab, ei tähenda see, et järelevalveasutus kontrollib, kas kõik üldmääruse artikli 14 lõike 5 punktis c ette nähtud erandi kohaldamise tingimused on täidetud, siiski asjasse puutuvate riigisiseste õigusnormide kehtivuse hindamist. See asutus võtab seisukoha üksnes küsimuses, kas vastutaval töötlejal on konkreetsel juhul õigus tugineda selles sättes ette nähtud erandile andmesubjekti suhtes.

68

Mis puudutab sellise kontrolli tulemust, siis tuleb meenutada, et määruse artiklis 78 on sätestatud, et kui järelevalveasutus otsustab konkreetsel juhul, et andmesubjekti kaebus ei ole põhjendatud, peab andmesubjektil olema oma liikmesriigis õigus tõhusale õiguskaitsevahendile selle rahuldamata jätmise otsuse vastu.

69

Seevastu juhul, kui see asutus leiab, et kaebus on põhjendatud ja määruse artikli 14 lõike 5 punktis c ette nähtud erandi kohaldamise tingimused ei ole täidetud, kohustab ta vastutavat töötlejat esitama andmesubjektile teabe vastavalt sama määruse artikli 14 lõigetele 1, 2 ja 4.

70

Mis teisena puudutab küsimust, kas see kontroll peab käsitlema ka seda, kas üldmääruse artikli 32 seisukohast on meetmed, mida vastutav töötleja peab võtma, asjakohased, et tagada töötlemise turvalisus, siis tuleb rõhutada, et määruse artikli 14 lõike 5 punktis c on sätestatud erand üksnes määruse artikli 14 lõigetes 1, 2 ja 4 ette nähtud teavitamiskohustusest, ilma et oleks ette nähtud erandit sama määruse teistes sätetes, sealhulgas artiklis 32, sätestatud kohustustest.

71

Artikli 32 kohaselt peavad vastutav töötleja ja volitatud töötleja rakendama töötlemisega seotud ohule vastava turvalisuse taseme tagamiseks asjakohaseid tehnilisi ja korralduslikke meetmeid. Nende meetmete asjakohasust tuleb hinnata konkreetselt, võttes arvesse asjaomase töötlemisega seotud ohtusid ja hinnates, kas meetmete laad, sisu ja rakendamine on nende ohtudega vastavuses (vt selle kohta 14. detsembri 2023. aasta kohtuotsus Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, punktid 42, 46 ja 47, ning 25. jaanuari 2024. aasta kohtuotsus MediaMarktSaturn, C‑687/21, EU:C:2024:72, punktid 37 ja 38).

72

Nende kahe sätte sõnastust arvestades tuleb märkida, et üldmääruse artiklis 32 sätestatud kohustused, mida tuleb järgida igal juhul ja sõltumata sellest, kas esineb selle määruse artiklis 14 sätestatud teavitamiskohustus või mitte, on oma laadilt ja ulatuselt erinevad artiklis 14 ette nähtud teavitamiskohustusest.

73

Seega, kui üldmääruse artikli 77 lõike 1 alusel esitatakse kaebus põhjusel, et vastutav töötleja tugines ekslikult selle määruse artikli 14 lõike 5 punktis c ette nähtud erandile, on järelevalveasutuse läbiviidavate kontrollide ese piiratud üksnes määruse artikli 14 kohaldamisalaga, kuna määruse artikli 32 järgimine ei kuulu nende kontrollide hulka.

74

Eeltoodud põhjendusi arvestades tuleb teisele ja kolmandale küsimusele vastata, et üldmääruse artikli 14 lõike 5 punkti c ja artikli 77 lõiget 1 tuleb tõlgendada nii, et nimetatud artikli 14 lõike 5 punktis c sätestatud erandi kohaldamisel on järelevalveasutus kaebemenetluses pädev kontrollima, kas liikmesriigi õiguses, mis on vastutava töötleja suhtes kohaldatav, on ette nähtud asjakohased meetmed andmesubjekti õigustatud huvide kaitsmiseks. Siiski ei puuduta see kontroll nende meetmete asjakohasust, mida vastutav töötleja peab rakendama määruse artikli 32 alusel, et tagada isikuandmete töötlemise turvalisus.

Kohtukulud

75

Kuna põhikohtuasja poolte jaoks on käesolev menetlus eelotsusetaotluse esitanud kohtus pooleli oleva asja üks staadium, otsustab kohtukulude jaotuse liikmesriigi kohus. Euroopa Kohtule seisukohtade esitamisega seotud kulusid, välja arvatud poolte kohtukulud, ei hüvitata.

1.

Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruse (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) artikli 14 lõike 5 punkti c

2.

Määruse 2016/679 artikli 14 lõike 5 punkti c ja artikli 77 lõiget 1