Väliaikainen versio
JULKISASIAMIEHEN RATKAISUEHDOTUS
MANUEL CAMPOS SÁNCHEZ-BORDONA
8 päivänä toukokuuta 2025 (1)
Asia C‑698/23 P
Euroopan tietosuojavaltuutettu (EDPS)
vastaan
Euroopan parlamentti ja
Euroopan unionin neuvosto,
jossa asian käsittelyyn osallistuvat
Saksan liittotasavalta,
Ranskan tasavalta ja
Euroopan komissio
Muutoksenhaku – Institutionaalinen oikeus – Euroopan unionin lainvalvontayhteistyöviraston (Europol) suorittama henkilötietojen käsittely – Asetus (EU) 2016/794 – Asetus (EU) 2022/991 – Euroopan tietosuojavaltuutetun (EDPS) institutionaaliset oikeudet – Kumoamiskanne – Asiavaltuus – SEUT 263 artikla
1. Nyt käsiteltävässä valituksessa on kyse unionin yleisen tuomioistuimen 6.9.2023 antamasta määräyksestä Euroopan tietosuojavaltuutettu (EDPS) v. parlamentti ja neuvosto,(2) jolla jätettiin tutkimatta Euroopan tietosuojavaltuutetun (jäljempänä tietosuojavaltuutettu) asetuksen (EU) 2016/794,(3) sellaisena kuin se on muutettuna asetuksella (EU) 2022/991,(4), 74 a ja 74 b artiklasta nostama kanne.
2. Unionin yleisessä tuomioistuimessa nostamassaan kanteessa tietosuojavaltuutettu väitti, että riidanalaisilla säännöksillä laillistetaan taannehtivasti tietyt tietosuojaa koskevat Euroopan unionin lainvalvontayhteistyöviraston (jäljempänä Europol) käytännöt, joita tietosuojavaltuutettu oli vastustanut 3.1.2022 antamassaan päätöksessä.
3. Tietosuojavaltuutetun mukaan sen 3.1.2022 antaman päätöksen tehokas vaikutus mitätöidään tosiasiallisesti asetuksella 2022/991 toteutetun asetuksen 2016/794 uudistuksen nojalla. Sen mielestä uusilla säännöksillä(5) loukataan sen riippumattomuutta ja heikennetään sen toimivaltuuksia valvontaviranomaisena.
4. Nyt käsiteltävässä valituksenalaisessa määräyksessä unionin yleinen tuomioistuin määräsi tietosuojavaltuutetun osalta seuraavaa:
– sillä ei ole SEUT 263 artiklan toisessa ja kolmannessa kohdassa jäsenvaltioille ja tietyille unionin toimielimille annettua asiavaltuutta
– se voi kyseenalaistaa riidanalaisten säännösten pätevyyden vain, jos se täyttää SEUT 263 artiklan neljännessä kohdassa määrätyt edellytykset, mitä nyt käsiteltävässä asiassa ei tapahdu.
I Asian tausta
5. Asian tausta kuvaillaan valituksenalaisen määräyksen 2–13 kohdassa, joista kertaan seuraavat kohdat:
”2 Euroopan tietosuojavaltuutettu antoi oma-aloitteisen tutkinnan ja 17.9.2020 antamansa huomautuksen jälkeen 3.1.2022 alkuperäisen Europol-asetuksen 43 artiklan 3 kohdan e alakohdan nojalla päätöksen, joka koski [Europolia] ja jossa todettiin, että ’koska Europolin esittämässä toimintasuunnitelmassa [todettiin], että kaikki tiedot tallennetaan jatkuvasti luokittelematta niitä, kyseisessä toimintasuunnitelmassa [ei käsitelty] 17.9.2020 annetussa huomautuksessa todettua rikkomusta’, ja että ’se, että Europol käsitteli kaikki tiedot luokittelematta niitä – – ainoastaan asian kannalta merkityksellisten tietojen hankkimiseksi [alkuperäisen] Europol-asetuksen 18 artiklan 3 ja 5 kohdan ja sen liitteen II.B[(6)] sekä tietojen minimointia ja tietojen säilytyksen rajoittamista koskevien periaatteiden ([alkuperäisen] Europol-asetuksen 28 artiklan 1 kohdan c ja e alakohta) mukaisesti, ei [voinut] ylittää kuutta kuukautta osuuden vastaanottamispäivästä’.
– 3 Tämän päättelyn tueksi tietosuojavaltuutettu totesi muun muassa, että ’koska erillistä lain säännöstä tässä tarkoituksessa käsiteltävien henkilötietojen säilyttämisajasta ei ole, – – [alkuperäisen Europol-asetuksen] 18 artiklan 6 kohtaa [oli] sovellettava analogisesti’. [(7)]
– 4 Näin ollen 3.1.2022 annetusta päätöksestä ilmenee, että tietosuojavaltuutettu pääasiallisesti kehotti Europolia luokittelemaan rekisteröidyt jokaisen 4.1.2022 alkaen vastaanotetun osuuden osalta alkuperäisen Europol-asetuksen 18 artiklan 5 kohdassa tarkoitetulla tavalla kuuden kuukauden kuluessa osuuden vastaanottamisesta ja 12 kuukauden kuluessa kaikkien 3.1.2022 olemassa olleiden tietojen osalta, ja näiden määräaikojen jälkeen Europolin oli poistettava kyseiset tiedot.
– –
– 8 Euroopan parlamentti ja Euroopan unionin neuvosto antoivat 8.6.2022 muutetun Europol-asetuksen. Kyseisessä asetuksessa vahvistettiin 74 a ja 74 b artiklan sanamuoto.
– 9 Näissä säännöksissä säädetään pääasiallisesti, millä edellytyksin Europolin on tietyssä määräajassa luokiteltava kaikki tiedot, jotka ovat sen hallussa muutetun Europol-asetuksen tullessa voimaan, ja niissä täsmennetään, millä edellytyksin ja mitä menettelyjä noudattaen Europolille ennen 28.6.2022 toimitettujen muihin kuin muutetun Europol-asetuksen liitteessä II lueteltuihin rekisteröityjen ryhmiin liittyvien henkilötietojen käsittely hyväksytään vireillä olevan rikostutkinnan tukemiseksi.
– –
– 10 Tietosuojavaltuutetun katsottua, että sen 3.1.2022 antaman päätöksen ja muutetun Europol-asetuksen 74 a ja 74 b artiklan ulottuvuus ei ollut sama, tietosuojavaltuutettu pyysi 15.6.2022 parlamenttia, neuvostoa ja [Euroopan] komissiota toimittamaan sille asiakirjat, jotka koskevat muutetun Europol-asetuksen säännösten ja sen valvontavaltuuksien aiemman käytön välistä yhteyttä. Parlamentti vastasi pyyntöön 12.7.2022 päivätyllä kirjeellä ja neuvosto 25.7.2022 päivätyllä kirjeellä.
– 11 Neuvoston 24.1.2022 päivätyssä asiakirjassa nro 5370/22, joka koskee kolmikantaneuvotteluihin valmistautumista, täsmennetään, että ’[tietosuojavaltuutetun] äskettäin antama päätös, joka saattaa vaikuttaa Europolin toimintaan, osoittaa, että asetus on tarpeen antaa nopeasti’, että ’puheenjohtajavaltio on ehdottanut valtuuskunnille uuden artiklan 74 [a], jonka tavoitteena olisi selventää Europolin hallussa tällä hetkellä olevien tietojen tilannetta erityisesti tietosuojavaltuutetun edellä mainitun 3.1.2022 päivätyn päätöksen yhteydessä, lisäämistä’, ja että ’useat valtuuskunnat suhtautuivat myönteisesti kyseisen ehdotuksen periaatteisiin 19.1.2022 pidetyssä kokouksessa, mutta komitean hyväksyntä on tarpeen sen äskettäin pitämän esitelmän ja niiden kysymysten vuoksi, jotka ovat nousseet tietosuojavaltuutetun antaman päätöksen jälkeen’.
– 12 Tietosuojavaltuutettu kysyi 15.7.2022 päivätyllä kirjeellä Europolilta, jatketaanko – ottaen huomioon muutetun Europol-asetuksen 74 a ja 74 b artikla – sen 3.1.2022 antaman päätöksen täytäntöönpanoa vai katsoiko Europol, että mainitut säännökset olivat korvanneet kyseisen päätöksen sisällön tai muuttaneet sitä.
– 13 Europol vastasi 22.8.2022 päivätyllä kirjeellä tietosuojavaltuutetulle pääasiallisesti, että se jatkoi 3.1.2022 annetun päätöksen tiettyjen kohtien täytäntöönpanoa mutta että se ei voinut tässä vaiheessa kommentoida tilannetta 3.1.2023 ja uusien täytäntöönpanokertomusten toimittamista kyseisen päätöksen nojalla. Kyseisessä kirjeessä mainitaan myös se, että muutetun Europol-asetuksen 74 a ja 74 b artiklaa ei sovellettu tiettyihin osuuksiin, jotka oli poistettu.”
II Asian käsittelyn vaiheet unionin yleisessä tuomioistuimessa ja valituksenalainen määräys
6. Tietosuojavaltuutettu vaati unionin yleisessä tuomioistuimessa nostamassaan kanteessa riidanalaisten siirtymäsäännösten kumoamista.
7. Parlamentti vaati vastineessaan unionin yleistä tuomioistuinta hylkäämään kanteen.
8. Neuvosto puolestaan esitti kanteen tutkimatta jättämistä koskevan väitteen ”– – kahdesta syystä. – – Kanne on jätettävä tutkimatta ensinnäkin sen perusteella, että tietosuojavaltuutettua ei mainita SEUT 263 artiklan toisessa ja kolmannessa kohdassa tai – – tuomiossa parlamentti v. neuvosto,(8) ja toiseksi sen perusteella, että riidanalaiset säännökset eivät koske tietosuojavaltuutettua suoraan ja erikseen SEUT 263 artiklan neljännessä kohdassa tarkoitetulla tavalla”.(9)
9. Tietosuojavaltuutettu väitti kyseisestä tutkimatta jättämistä koskevasta väitteestä seuraavaa:
– ” – – ensisijaisesti, että sen asiavaltuus nostaa SEUT 263 artiklan nojalla kumoamiskanne perustuu siihen, että sillä on oltava oikeus oikeussuojakeinoihin suojellakseen sen institutionaalisia oikeuksia ja erityisesti sen riippumattomuutta valvontaviranomaisena, josta määrätään [Euroopan unionin] perusoikeuskirjan 8 artiklan 3 kohdassa, sekä institutionaalista tasapainoa valvontaviranomaisten ja lainsäätäjän välillä. Tässä yhteydessä tietosuojavaltuutettu täsmentää, että sillä on asiavaltuus – – tuomioon [parlamentti v. neuvosto] perustuvan oikeuskäytännön, jota on sovellettava analogisesti nyt käsiteltävässä asiassa, nojalla, koska kyseinen tuomio osoittaa, että institutionaalisten oikeuksien suojelu mahdollistaa poikkeuksellisesti sen, että toimielin puolustaa kyseisiä oikeuksia ilman että on tarpeen täyttää tutkittavaksi ottamisen edellytyksiä, jotka koskevat SEUT 263 artiklan neljännen kohdan nojalla luonnollisia henkilöitä tai oikeushenkilöitä”.(10)
– ”Tietosuojavaltuutettu väittää toissijaisesti, että riidanalaiset säännökset koskevat sitä suoraan ja erikseen ja että sillä on ilmeinen ja todellinen intressi saada ne kumotuiksi – –”.(11)
10. Unionin yleinen tuomioistuin on jättänyt tietosuojavaltuutetun kanteen tutkimatta seuraavista syistä:
– Ensinnäkin siksi, että vaikka tietosuojavaltuutettu on unionin elin, jolla on erityisasema, se ei kuulu SEUT 263 artiklan toisessa ja kolmannessa kohdassa tarkoitettujen kantajien joukkoon eikä ole SEU 13 artiklan 1 kohdassa tarkoitetussa toimielinten luettelossa.
– Toiseksi siksi, että tuomioon parlamentti v. neuvosto perustuvassa oikeuskäytännössä, johon tietosuojavaltuutettu vetoaa, parlamentille tuolloin annettu asiavaltuus selittyy tarpeella korjata puute, joka merkitsi sitä, ettei tuolloin ollut olemassa keinoja riitauttaa muiden toimielinten toimia, jotka saattoivat loukata parlamentin oikeuksia. Tietosuojavaltuutettu voi kuitenkin nykyisin nostaa kumoamiskanteen SEUT 263 artiklan neljännen kohdan nojalla, koska se on elin, joka on perustettu unionin johdetun oikeuden säädöksellä ja joka voidaan rinnastaa oikeushenkilöön.
– Kolmanneksi on todettava, että tietosuojavaltuutettu voidaan unionin elimenä rinnastaa SEUT 263 artiklan neljännessä kohdassa tarkoitettuun oikeushenkilöön, joten sillä on asemansa vuoksi asiavaltuus nostaa kumoamiskanne riidanalaisista siirtymäsäännöksistä edellyttäen, että ne koskevat sitä suoraan ja erikseen.
– Viimeksi mainitusta seikasta on todettava, että riidanalaisilla siirtymäsäännöksillä muutetaan tietosuojaa koskevaa oikeudellista järjestelmää, jota tietosuojavaltuutettu valvoo, mutta ne eivät vaikuta unionin lainsäädännöllä tietosuojavaltuutetulle annettujen toimivaltuuksien luonteeseen tai ulottuvuuteen, ja siksi edellytys siitä, että toimi koskee tietosuojavaltuutettua suoraan, ei täyty.
– Koska riidanalaiset siirtymäsäännökset eivät vaikuta suoraan tietosuojavaltuutetun oikeusasemaan ja koska edellytykset siitä, että toimi, jonka kumoamista vaaditaan, koskee tietosuojavaltuutettua suoraan ja erikseen, ovat kumulatiivisia, unionin yleinen tuomioistuin toteaa lopuksi, että kanne jätetään tutkimatta, koska sen tutkittavaksi ottamisen edellytykset osittain puuttuvat ja osittain selvästi puuttuvat.
III Valitus ja asian käsittelyn vaiheet unionin tuomioistuimessa
11. Valituksessaan tietosuojavaltuutettu vaatii, että unionin tuomioistuin
– kumoaa valituksenalaisen määräyksen
– kumoaa riidanalaiset siirtymäsäännökset
– velvoittaa ensimmäisessä oikeusasteessa vastaajina olleet korvaamaan oikeudenkäyntikulut.
12. Tietosuojavaltuutettu esittää valituksessaan yhden ensisijaisen ja yhden toissijaisen valitusperusteen:
– Ensisijaisessa valitusperusteessa tietosuojavaltuutettu väittää, että tuomiossa parlamentti v. neuvosto tarkoitettua toimielinten välisen tasapainon periaatetta ja tietosuojavaltuutetun oikeutta tehokkaisiin oikeussuojakeinoihin, joilla turvataan sen oikeus riippumattomuuteen, on loukattu.
– Toissijaisesti se väittää, että unionin yleinen tuomioistuin teki virheen todetessaan, että riidanalaiset siirtymäsäännökset eivät koskeneet tietosuojavaltuutettua suoraan SEUT 263 artiklan neljännessä kohdassa määrätyllä tavalla.
13. Parlamentti vaatii, että unionin tuomioistuin
– hylkää valituksen
– velvoittaa tietosuojavaltuutetun korvaamaan oikeudenkäyntikulut.
14. Neuvosto vaatii, että unionin tuomioistuin
– jättää valituksen tutkimatta, koska sen tutkittavaksi ottamisen edellytykset selvästi puuttuvat, tai toissijaisesti hylkää sen selvästi perusteettomana
– velvoittaa tietosuojavaltuutetun korvaamaan oikeudenkäyntikulut.
15. Ranskan tasavalta ja komissio ovat esittäneet kirjallisia huomautuksia tukeakseen parlamentin ja neuvoston vaatimuksia.
16. Sekä valittajan että vastapuolen esitettyä vastauskirjelmänsä pidettiin 11.3.2025 istunto, johon osallistuivat tietosuojavaltuutettu, parlamentti, neuvosto ja komissio.
IV Asian arviointi
A Ensimmäinen valitusperuste
1. Asianosaisten lausumat
a) Tutkittavaksi ottaminen
17. Neuvoston mukaan ensimmäinen valitusperuste on jätettävä tutkimatta, koska tietosuojavaltuutettu on ainoastaan toistanut ensimmäisessä oikeusasteessa esitetyt perustelut ja ilmaissut olevansa eri mieltä valituksenalaisesta määräyksestä yksilöimättä esiin tuotuja oikeudellisia virheitä selvästi.
18. Tietosuojavaltuutettu väittää eritelleensä valituksessa yksityiskohtaisesti valituksenalaiset kohdat ja voivansa toisessa oikeusasteessa kiistää unionin yleisen tuomioistuimen lainsäädännöstä tekemän tulkinnan, joka on tietosuojavaltuutetun mukaan myös perusteltu puutteellisesti.
b) Asiakysymys
19. Tietosuojavaltuutetun mukaan unionin yleisen tuomioistuimen oli tunnustettava sen asiavaltuus riitauttaa riidanalaiset siirtymäsäännökset SEUT 263 artiklan neljännen kohdan vaatimuksista riippumatta, sillä muussa tapauksessa perusoikeuskirjan 8 artiklan 3 kohdassa tarkoitetulta riippumattomalta valvontaviranomaiselta evättäisiin oikeus saattaa asia tuomioistuimen käsiteltäväksi toimielinten välisen tasapainon säilyttämiseksi.
20. Tietosuojavaltuutettu oli vedonnut tämän väitteen tueksi tuomioon parlamentti v. neuvosto, jota unionin yleinen tuomioistuin ei pitänyt asian kannalta merkityksellisenä syistä, jotka tietosuojavaltuutetun mukaan ovat perusteettomia. Tietosuojavaltuutettu on samassa tilanteessa kuin parlamentti kyseisen tuomion antamiseen johtaneessa asiassa, koska tietosuojavaltuutetulla ei tällä hetkellä ole mitään oikeussuojakeinoa, jotta se voisi puolustaa perusoikeuskirjan 8 artiklan 3 kohdassa suojattua riippumattomuuttaan, joka on olennainen osa henkilötietojen suojaa.
21. Se, että tietosuojavaltuutettu on oikeussubjekti, toisin kuin parlamentti tuomioon parlamentti v. neuvosto johtaneessa asiassa, ei voi olla peruste evätä siltä mahdollisuus puolustaa riippumattomuuttaan, joka vaarantuu väistämättä riidanalaisten siirtymäsäännösten taannehtivuuden vuoksi.
22. Tietosuojavaltuutetun mielestä ratkaisevaa on – kuten unionin tuomioistuin on todennut – perussopimuksissa määrätyn toimivallanjakoa koskevan järjestelmän eheyden turvaaminen. Tämä edellyttää, että toimielinten lisäksi tietosuojavaltuutetun kaltaisen elimen on voitava käyttää oikeussuojakeinoja toimivallan tasapainoa koskevan periaatteen mukaisesti.
23. Se, että unionin yleinen tuomioistuin on rajannut tietosuojavaltuutetun mahdollisuuden saada oikeussuojaa nostamalla kanne SEUT 263 artiklan neljännessä kohdassa määrättyyn menettelyyn, luo tietosuojavaltuutetun mukaan aukon perussopimuksilla perustetun tuomioistuinjärjestelmän kokonaisuuteen. Vain yleisellä ja itsenäisellä asiavaltuudella voidaan varmistaa tietosuojavaltuutetun oikeuksien puolustaminen tuomioistuimessa kaikissa olosuhteissa, riippumatta sellaisten edellytysten täyttymisestä, jotka SEUT 263 artiklan neljännessä kohdassa asetettujen edellytysten tavoin täyttyvät vain harvoissa poikkeustapauksissa. Tietosuojavaltuutetun riippumattomuuteen voivat vaikuttaa toimenpiteet, jotka eivät koske sitä suoraan ja erikseen mutta voivat aiheuttaa ns. ennakoivan noudattamisen vaaran.
24. Tietosuojavaltuutettu arvostelee unionin yleistä tuomioistuinta myös siitä, että se katsoo tietosuojavaltuutetun vaativan etuoikeutta riitauttaa kaikki henkilötietojen käsittelyä koskeva lainsäädäntö. Tietosuojavaltuutettu pyrkii päinvastoin ainoastaan siihen, että sen oikeus puolustaa oikeuttaan riippumattomuuteen tunnustetaan tuomion parlamentti v. neuvosto mukaisesti, ja riitauttamaan tietyn säädöksen sisällön vain tältä osin hyvin erityisissä olosuhteissa.
25. Parlamentti ja neuvosto, joita komissio ja Ranskan hallitus tukevat, vaativat ensisijaisen valitusperusteen hylkäämistä, koska tietosuojavaltuutettu voi nostaa kumoamiskanteen vain SEUT 263 artiklan neljännessä kohdassa määrätyin edellytyksin.
26. Parlamentin ja neuvoston mukaan SEUT 263 artiklan sanamuoto on ehdoton: perussopimusten laatijoiden päätöksellä tietosuojavaltuutettu ei kuulu niihin osapuoliin, joilla on asiavaltuus nostaa kanne tarvitsematta täyttää kyseisen artiklan neljännen kohdan edellytyksiä.
27. Neuvosto kiistää tietosuojavaltuutetun mainitseman aukon olemassaolon ja väittää, että sen vaatimuksen hyväksyminen antaisi sille mahdollisuuden riitauttaa kaikki tietosuojaa koskevat säädökset ja vaikeuttaisi asiaa koskevan lainsäädännön muuttamista.
28. Parlamentti, neuvosto ja komissio hyväksyvät yksimielisesti unionin yleisen tuomioistuimen tuomiosta parlamentti v. neuvosto tekemän tulkinnan. Ne korostavat, että perussopimuksissa ei anneta tietosuojavaltuutetulle (johdetun oikeuden nojalla perustettu elin, joka vastaa osittain unionin tietosuojalainsäädännön valvonnasta) nyt käsiteltävässä asiassa kyseessä olevaan oikeuteen verrattavaa oikeutta.
29. Komission mukaan tietosuojavaltuutetun tukemaa tulkintaa voidaan soveltaa kaikkiin unionin elimiin ja laitoksiin SEUT 263 artiklan neljännessä kohdassa määrättyjen edellytysten kustannuksella. Nämä edellytykset, tulkittuina tehokasta oikeussuojaa koskevan oikeuden valossa, eivät ole esteenä henkilötietojen asianmukaiselle suojaamiselle, joka on tietosuojavaltuutetulle myönnetyn riippumattomuuden perimmäinen syy, eikä sille ole tarpeen myöntää suoraa ja yleistä asiavaltuutta.
30. Parlamentti väittää joka tapauksessa, ettei tietosuojavaltuutetun riippumattomuutta ole loukattu millään tavalla, vaan lainsäädäntövaltaa on käytetty lainmukaisesti henkilötietojen suojaa koskevan sääntelyn muuttamiseksi.
2. Asian tarkastelu
a) Tutkittavaksi ottaminen
31. Neuvoston näkemyksestä poiketen katson, että ensisijaista valitusperustetta ei ole jätettävä tutkimatta.
32. Valitus, jossa vain kerrataan tai toistetaan sanasta sanaan unionin yleisessä tuomioistuimessa jo esitetyt perusteet ja perustelut, ei tosin täytä unionin tuomioistuimen työjärjestyksen 168 artiklan 1 kohdan d alakohdassa ja 169 artiklan 2 kohdassa määrättyjä perusteluvaatimuksia.(12)
33. Tuomion Saksa v. komissio mukaan ”ensimmäisessä oikeusasteessa tutkitut oikeudelliset perusteet voidaan kuitenkin uudelleen riitauttaa valitusvaiheessa, jos valittaja riitauttaa unionin yleisen tuomioistuimen tekemän tulkinnan unionin oikeudesta taikka sen soveltamisen”.(13)
34. Näin on nyt käsiteltävässä asiassa. Vaikka tietosuojavaltuutettu toistaa ensimmäisessä oikeusasteessa esitetyt perustelut oikeuttaakseen kumoamiskanteensa tutkittavaksi ottamisen, se tekee sen nyt riitauttaessaan unionin tuomioistuimen puoltaman SEUT 263 artiklan tulkinnan. Tietosuojavaltuutettu yksilöi valituksenalaisen määräyksen oikeudelliset perusteet (ja kritisoi niitä) ja ilmoittaa täsmällisesti vaatimuksensa tueksi esitetyt oikeudelliset perustelut.
b) Asiakysymys
35. Valituksenalaisen määräyksen 26–35 kohdassa esitetään syyt siihen, miksi tietosuojavaltuutettu ei unionin yleisen tuomioistuimen mukaan voi nostaa kannetta noudattamatta SEUT 263 artiklan neljännessä kohdassa määrättyjä edellytyksiä.
36. Unionin yleinen tuomioistuin korostaa, ettei tietosuojavaltuutettu kuulu toimielimiin, joilla on SEUT 263 artiklan perusteella nimenomaisesti asiavaltuus a) nostaa toimivallan puuttumista, olennaisen menettelymääräyksen rikkomista, perussopimusten tai sen soveltamista koskevan oikeussäännön rikkomista taikka harkintavallan väärinkäyttöä koskeva kanne (toinen kohta), ja b) tiettyjen toimielinten tapauksessa asiavaltuus nostaa kanne oikeuksiensa turvaamiseksi (kolmas kohta).
37. Tällainen asiavaltuus on seuraavilla osapuolilla:
– jäsenvaltiot, parlamentti, neuvosto ja komissio, joille annetaan SEUT 263 artiklan toisessa kohdassa yleinen asiavaltuus
– tilintarkastustuomioistuin, Euroopan keskuspankki ja alueiden komitea, jotka voivat SEUT 263 artiklan kolmannen kohdan nojalla nostaa kanteen omien oikeuksiensa turvaamiseksi.
38. Tietosuojavaltuutettu ei ole SEUT 263 artiklan toisessa ja kolmannessa kohdassa mainittujen osapuolten joukossa eikä myöskään SEU 13 artiklan 1 kohtaan sisältyvässä toimielinten luettelossa. Kyseiset toimielimet ovat alueiden komiteaa lukuun ottamatta samat kuin ne, joille on annettu EUT-sopimuksessa asiavaltuus, jota luettelosta puuttuva tietosuojavaltuutettu nyt vaatii.(14)
39. Tietosuojavaltuutettu on johdetun oikeuden säännöksellä perustettu unionin elin.(15) Tällaisena elimenä ja unionin tuomioistuimen oikeuskäytännön mukaisesti sen ei voida katsoa sisältyvän toimielinten käsitteeseen: SEU 13 artiklan 1 kohdan mukaan tällä käsitteellä viitataan täsmälliseen luetteloon yksiköistä, joihin eivät kuulu unionin elimet ja laitokset.(16)
40. SEUT 263 artiklan ensimmäisen kohdan loppuosan mukaan unionin tuomioistuin valvoo ”unionin elinten ja laitosten sellaisten säädösten laillisuutta, joiden tarkoituksena on tuottaa oikeusvaikutuksia suhteessa kolmansiin osapuoliin”. Tällaiset elimet ja laitokset eivät kuitenkaan kuulu niihin oikeussubjekteihin, joilla on asiavaltuus vaatia unionin tuomioistuinta käyttämään toimivaltaansa saman SEUT 263 artiklan toisen ja kolmannen kohdan perusteella.
41. Ne on tarkoituksellisesti jätetty pois, sillä kuten unionin yleinen tuomioistuin perustellusti toteaa, alueiden komitean sisällyttäminen SEUT 263 artiklan kolmannessa kohdassa tarkoitettujen kantajien joukkoon osoittaa, että ”vaikka perussopimuksen laatijat ottivat huomioon myös muita oikeushenkilöitä kuin ne toimielimet, jotka sisältyvät luetteloon oikeushenkilöistä, jotka voivat puolustaa oikeuksiansa kyseisen määräyksen nojalla, ne valitsivat olla sisällyttämättä tietosuojavaltuutettua kantajien joukkoon”.(17)
42. Tietosuojavaltuutettu on riippumaton viranomainen, jonka on valvottava SEUT 16 artiklan 2 kohdassa tarkoitetulla tavalla, että unionin toimielimet, elimet ja laitokset noudattavat unionin tietosuojalainsäädäntöä.(18) Tämän seikan vuoksi tietosuojavaltuutettu on riippumaton unionin elin mutta ei unionin toimielin.
43. Tietosuojavaltuutettu ei riitauttanut uusia säännöksiä unionin tuomioistuimessa, kuten se olisi velvollinen tekemään, jos se olisi unionin toimielin. Euroopan unionin tuomioistuimen perussäännön 51 artiklan b alakohdan mukaan SEUT 263 artiklassa tarkoitetut kanteet, jotka erityisesti unionin toimielin nostaa säädöksestä, kuuluvat unionin tuomioistuimen toimivaltaan. Tällainen menettelytapa osoittaa, että tietosuojavaltuutettu ei itse määritellyt itseään unionin toimielimeksi.
44. Tietosuojavaltuutettu riitauttaa pikemminkin unionin yleisen tuomioistuimen valituksenalaisen määräyksen 38–55 kohdassa esittämät perustelut, joiden nojalla se hylkää tuomion parlamentti v. neuvosto analogisen soveltamisen.
45. Tietosuojavaltuutettu vaikuttaa siis myöntävän ainakin implisiittisesti, että SEUT 263 artiklan toinen ja kolmas alakohta johtavat valituksenalaisessa määräyksessä tehtyyn ratkaisuun. Se katsoo kuitenkin, että kyseisten kahden määräyksen sanamuodon vuoksi on asetettava etusijalle ne näkökohdat, joiden perusteella unionin tuomioistuin myönsi tuomiossa parlamentti v. neuvosto parlamentille asiavaltuuden, josta tuolloin oli kyse.
46. Olen kuitenkin tästä seikasta samaa mieltä unionin yleisen tuomioistuimen kanssa.
47. Unionin yleinen tuomioistuin muistuttaa tuomiosta parlamentti v. neuvosto tekemänsä tulkinnan perusteella, että siinä ”tuomioistuin totesi, että ETY:n perustamissopimuksen 173 artiklan sanamuodon mukaan parlamentti ei voinut riitauttaa unionin tuomioistuimissa muiden toimielinten antamia säädöksiä, jotka saattoivat loukata sen omia oikeuksia, ja tuomioistuin päätti korjata tämän puutteen soveltamalla toimielinten välisen tasapainon yleistä periaatetta”.(19)
48. Tuomiossa parlamentti v. neuvosto yhteisöjen tuomioistuin katsoi seuraavaa:
– Parlamentin oikeuksilla, jotka ”ovat yksi osa perustamissopimuksilla luotua toimielinten välistä tasapainoa. Perustamissopimuksissa on toteutettu [unionin] toimielinten välistä toimivallan jakoa koskeva järjestelmä, jossa kullekin toimielimelle on annettu oma tehtävänsä [unionin] toimielinrakenteessa [unionille] uskottujen tehtävien toteuttamisessa”.(20)
– Oli tarpeen ”varmistaa toimielinten välisen tasapainon säilyminen ja siten parlamentin oikeuksien kunnioittamiseen liittyvä tuomioistuinvalvonta silloin, kun parlamentti saattaa tätä varten asian yhteisöjen tuomioistuimen käsiteltäväksi tavoitteeseensa soveltuvalla oikeussuojakeinolla”.(21)
– Tämän velvoitteen vuoksi yhteisöjen tuomioistuimen tehtävänä oli ”varmistaa perustamissopimuksissa olevien, toimielinten välistä tasapainoa koskevien määräysten täysimääräinen soveltaminen ja huolehtia siitä, ettei muiden toimielinten tavoin myöskään parlamentin oikeuksia voida rikkoa siten, että kyseinen toimielin ei voisi turvautua sellaiseen perustamissopimuksissa määrättyyn oikeussuojakeinoon, jota voidaan käyttää varmalla ja tehokkaalla tavalla”.(22)
– ”Se, että perustamissopimuksissa ei ole määräystä parlamentin oikeudesta nostaa kumoamiskannetta, voi muodostaa menettelyllisen aukon, mutta tämä puute ei voi olla ensisijainen suhteessa siihen perustavanlaatuiseen intressiin, joka liittyy Euroopan yhteisöjen perustamissopimuksilla määritellyn toimielinten välisen tasapainon säilyttämiseen.”(23)
49. Tämän vuoksi yhteisöjen tuomioistuin totesi, että parlamentilla on ”oikeus saattaa – – käsiteltäväksi kanne, jossa se vaatii neuvoston tai komission toimea kumottavaksi, jos kyseisellä kanteella pyritään ainoastaan suojaamaan parlamentin oikeuksia ja jos kanne perustuu ainoastaan näiden oikeuksien loukkaamista koskeviin kanneperusteisiin.(24)
50. Tietosuojavaltuutetun olosuhteet poikkeavat suuresti niistä, jotka vallitsivat parlamentin osalta tuomion parlamentti v. komissio antamisajankohtana.
51. Tuomiossa parlamentti v. neuvosto viitataan ensinnäkin toimielinten väliseen tasapainoon ”[unionin] toimielinten” välisen toimivallan jaon yhteydessä. Tietosuojavaltuutettu ei ole unionin toimielin, kuten edempänä jo totesin.
52. Toiseksi on todettava, että tuomiossa parlamentti v. neuvosto tarkastellussa tilanteessa parlamentilla oli käytettävissään vain tehottomia tai epävarmoja oikeussuojakeinoja oikeuksiensa puolustamiseksi. Nyt käsiteltävässä asiassa tietosuojavaltuutetulla on sitä vastoin nykyisin käytettävissään tehokas ja varma oikeussuojakeino. Tietosuojavaltuutettu vakuuttaa(25) pystyvänsä osoittamaan, että se täyttää SEUT 263 artiklan neljännessä kohdassa asetetut asiavaltuuden edellytykset.(26)
53. Myöntäessään kyseisen mahdollisuuden nimenomaisesti nyt käsiteltävän asian tapauksessa tietosuojavaltuutettu tekee suurelta osin tyhjäksi ensimmäisen valitusperusteensa tuomioon parlamentti v. neuvosto perustuvan oikeuskäytännön soveltamisen osalta. Toistan, että viimeksi mainitussa tuomiossa lähdettiin siitä, että parlamentilla ei ollut käytettävissään tehokkaita ja varmoja muutoksenhakukeinoja.
54. Edellä esitetyn perusteella ei ole juurikaan merkitystä sillä, onko olemassa muita tilanteita, joissa tietosuojavaltuutetulla ei olisi asiavaltuutta saattaa asiaa unionin tuomioistuimen käsiteltäväksi SEUT 263 artiklassa tarkoitetulla tavalla, vaikka se katsoo oikeuksiaan loukatun.(27) Riippumatta siitä, onko kyse tietosuojavaltuutetun mainitsemista tilanteista, nyt käsiteltävässä asiassa merkitystä on vain unionin yleisessä tuomioistuimen käsiteltäväksi saatetulla todellisella yksittäistapauksella. Vain kyseisen tapauksen osalta on selvitettävä, täyttääkö tietosuojavaltuutettu riidanalaisten siirtymäsäännösten riitauttamiselle asetetut edellytykset.
55. Näin ollen katson, ettei tietosuojavaltuutetulla ole SEUT 263 artiklan toisessa ja kolmannessa kohdassa määrättyä asiavaltuutta, mikä on ratkaisevaa sen ensisijaisen valitusperusteen hylkäämisen kannalta.
B Toissijainen valitusperuste
1. Asianosaisten lausumat
a) Tutkittavaksi ottaminen
56. Neuvosto katsoo, että myös tämä peruste on jätettävä tutkimatta samoista syistä, joiden perusteella se katsoi, ettei ensisijaista perustetta voida ottaa tutkittavaksi.
b) Asiakysymys
57. Tietosuojavaltuutettu vetoaa aluksi valituksenalaisen määräyksen 76 ja 77 kohdan epäselvyyteen; niissä todetaan, että 3.1.2022 annettu päätös ”on – – hallintopäätös, jolla ei voi olla vaikutusta [alkuperäisen] Europol-asetuksen kaltaisiin säädöksiin tai niiden sisältöön” ja että ”vaikka riidanalaisilla säännöksillä muutetaan asian sääntelykehystä, jonka noudattamisen valvonta on tietosuojavaltuutetun tehtävä, ja vaikka kyseisillä säännöksillä ei ole täysin samaa ulottuvuutta kuin 3.1.2022 annetulla päätöksellä, ne eivät kuitenkaan vaikuta tietosuojavaltuutetun oikeusasemaan”.
58. Tietosuojavaltuutetun mukaan kyseisissä toteamuksissa tehdään kaksi virhettä. Niissä ei yhtäältä oteta huomioon, että tietosuojavaltuutetun toimivallan käyttö edellyttää oikeusvarmuutta ja että kyseinen toimivalta on heikentynyt taannehtivien toimenpiteiden toteuttamisen vuoksi. Toisaalta niissä ei myönnetä, että riidanalaisilla siirtymäsäännöksillä pyritään kumoamaan yksittäisen päätöksen nykyiset vaikutukset, ja näin ollen ne kohdistuvat tietosuojavaltuutettuun ja Europoliin.
59. Tietosuojavaltuutetun mukaan juuri riidanalaisten siirtymäsäännösten taannehtivuus kyseenalaistaa sen riippumattomuuden, johon tulevaisuudessa sovellettava lainsäädäntömuutos ei sen mukaan vaikuttaisi mitenkään.
60. Tietosuojavaltuutettu lisää, että kyseiset säännökset vaikuttavat siihen myös erityisesti sen hoitaessa valvontatehtäväänsä tietosuoja-asioiden alalla. Tässä tapauksessa on kyse henkilötiedoista, joiden suojaa siirtymäsäännökset heikentävät, ja tästä samasta syystä nämä säännökset koskevat väistämättä myös tietosuojavaltuutettua.
61. Parlamentti ja neuvosto, joita komissio ja Ranskan hallitus tukevat, ovat pääosin samaa mieltä unionin yleisen tuomioistuimen perusteluista.
62. Parlamentti vetoaa erityisesti siihen, että jos kaikkien tietosuojavaltuutetun jo soveltamien säännösten muutosten katsottaisiin vaikuttavan siihen suoraan, sille annettaisiin etuoikeutetun kantajan asema, joka on ristiriidassa SEUT 263 artiklan kanssa. Ranskan hallitus huomauttaa vastaavasti, että näin edellytys siitä, että toimi koskee tietosuojavaltuutettua suoraan, jäisi vaille merkitystä.
2. Asian tarkastelu
a) Tutkittavaksi ottaminen
63. Syyt, joiden perusteella katsoin, että neuvoston esittämä vaatimus ensisijaisen valitusperusteen tutkimatta jättämisestä on hylättävä, voidaan ulottaa koskemaan toissijaista valitusperustetta.
b) Asiakysymys
64. Sekä unionin yleinen tuomioistuin että nyt käytävään menettelyyn osallistuneet toimielimet ovat yhtä mieltä siitä, että tietosuojavaltuutetulla ei ole SEUT 263 artiklan toiseen ja kolmanteen kohtaan perustuvaa asiavaltuutta (etuoikeutettu asiavaltuus). Ne ovat yhtä mieltä myös siitä, että tietosuojavaltuutetun on asiavaltuuden saamiseksi täytettävä SEUT 263 artiklan neljännessä kohdassa määrätyt edellytykset. Tähän saakka olen samaa mieltä niiden arvioista.
65. En kuitenkaan ole samaa mieltä siitä, ettei tietosuojavaltuutettu täytä tässä tapauksessa SEUT 263 artiklan neljännessä kohdassa määrättyjä edellytyksiä.
66. Koska tietosuojavaltuutettu ei voi saada vaatimaansa etuoikeutettua asiavaltuutta, katson, että sille kuuluvien tietosuojalainsäädännön valvontatehtävien luonteen vuoksi sen tavanomaista asiavaltuutta saattaa asiansa tuomioistuimen käsiteltäväksi on vältettävä tulkitsemasta liian suppeasti.
67. Vaikka totesin aiemmin, että tietosuojavaltuutettu ei ole unionin toimielimen asemassa, korostan kuitenkin nyt, että se hoitaa EUT-sopimuksessa määrättyä tärkeää tehtävää sen varmistamiseksi, että unionin toimielimet, elimet ja laitokset noudattavat sääntöjä, jotka koskevat luonnollisten henkilöiden suojaa henkilötietojen käsittelyssä. Näiden tehtävien hoitamista tapauksissa, joissa nostetaan kanne unionin tuomioistuimissa, ei pidä vaikeuttaa ilman erittäin vankkoja perusteita.
68. Jäljempänä esittämistäni syistä katson, että tietosuojavaltuutetulle voidaan antaa siltä valituksenalaisessa määräyksessä evätty asiavaltuus myös tulkittaessa SEUT 263 artiklan neljännen kohdan määräyksiä suppeasti.
69. Kannattamani ratkaisu ei merkitse sitä, että kumoamiskanteen asiasisältöön otetaan kantaa ennalta. Kanteen tutkittavaksi ottamista koskevan arvioinnin yhteydessä ei ole ennakoitava asiakysymyksen ratkaisua, vaan on riittävää selvittää, onko kantaja esittänyt asianmukaisesti syitä sille, että riidanalainen säännös vaikuttaa sen oikeusasemaan.(28)
70. Unionin yleinen tuomioistuin on hylännyt väitteen, jonka mukaan riidanalaiset siirtymäsäännökset koskevat tietosuojavaltuutettua suoraan SEUT 263 artiklan neljännessä kohdassa edellytetyllä tavalla. Näin on yhtäältä siksi, että kyseisillä määräyksillä on sen mukaan muutettu lainsäädäntöä, jota tietosuojavaltuutettu valvoo, mutta ei sen omia toimivaltuuksia.(29) Toisaalta näin on siksi, että tällaiset säännökset jättävät ”Europolille tietyn harkintavallan”.(30)
71. Lähestymistapa, jonka unionin yleinen tuomioistuin valitsee esittäessään perusteet sen määrittämiseksi, koskevatko säännökset tietosuojavaltuutettua suoraan, on lähtökohtaisesti oikea. Unionin tuomioistuin on korostanut, että yksittäisen toimenpiteen riitauttaminen vaatii kahden edellytyksen täyttymistä kumulatiivisesti ”– – eli yhtäältä kyseisellä toimenpiteellä on oltava välittömiä vaikutuksia kyseisen henkilön oikeusasemaan, ja toisaalta se ei saa jättää niille, joille se on osoitettu ja joiden tehtävänä on sen toimeenpano, ollenkaan harkintavaltaa, jolloin toimeenpano on puhtaasti automaattista ja perustuu yksinomaan unionin lainsäädäntöön eikä edellytä välissä olevien sääntöjen soveltamista”.(31)
72. Katson, että arvioidessaan, vaikuttavatko riidanalaiset siirtymäsäännökset tietosuojavaltuutetun oikeusasemaan nyt käsiteltävässä tapauksessa, unionin yleinen tuomioistuin lausuu tosiasiallisesti asiasta, jossa ei ole kyse tutkittavaksi ottamisesta vaan kanteen asiasisällöstä, koska sen keskeiset toteamukset koskevat riidanalaisten siirtymäsäännösten mahdollisia vaikutuksia tietosuojavaltuutetun riippumattomuuteen. Unionin yleinen tuomioistuin hylkää erityisesti väitteen siitä, että riidanalaisten siirtymäsäännösten (väitetty) taannehtivuus voisi vaarantaa tietosuojavaltuutetun riippumattomuuden.
73. Mielestäni unionin yleisellä tuomioistuimella oli menettelyn tässä vaiheessa toimivalta ainoastaan todeta, oliko tietosuojavaltuutettu esittänyt asianmukaisesti (eli perustellusti ja uskottavasti) syitä sille, että kyseisillä säännöksillä saattoi olla tällainen vaikutus.
74. Vastaava pätee mainituista edellytyksistä jälkimmäiseen: unionin yleinen tuomioistuin pitää kiistattomana, että riidanalaisilla siirtymäsäännöksillä annetaan Europolille harkintavaltaa päättää, ”jatkaako se tiettyjen tietojen käsittelyä”, mistä ilmenee selvästi, että ”[riidanalaisten säännösten] täytäntöönpano ei – – ole luonteeltaan puhtaasti automaattista”.(32)
75. Unionin yleinen tuomioistuin hylkää tietosuojavaltuutetun väitteen (siltä osin kuin on kyse tämän harkintavallan käytöstä tietosuojavaltuutetun 3.1.2022 antaman päätöksen osalta) ja toteaa, että ”riidanalaiset säännökset eivät estä tietosuojavaltuutettua käyttämästä haluamallaan tavalla omia toimivaltuuksiaan”.(33)
76. Tästä viimeksi mainitusta näkemyksestä voidaan kuitenkin esittää kaksi väitettä:
– Yhtäältä siinä ratkaistaan uudelleen asiakysymys ottamalla valitusperusteiden tutkittavaksi ottamista koskevassa vaiheessa ennalta kantaa oikeusvaikutuksiin, joita riidanalaisilla siirtymäsäännöksillä on sen asianosaisen asemaan, joka aikoo riitauttaa ne.(34) Siinä ratkaistaan se myös vetoamalla siihen teoreettiseen mahdollisuuteen, että Europol toimii tietyllä tavalla, vaikka tosiasiallisesti Europolin tietosuojavaltuutetulle 22.8.2022 antamasta vastauksesta(35) ilmeni selvästi, että ainakaan Europol ei osittain enää soveltanut tietosuojavaltuutetun 3.1.2022 antamaa päätöstä.
– Toisaalta siinä siirrytään pohtimaan tietosuojavaltuutetun mahdollista reaktiota Europolin (tuleviin) päätöksiin, vaikka riita-asian ratkaisemisen kannalta ratkaisevaa oli selvittää, olivatko riidanalaiset siirtymäsäännökset itsessään ja tilapäisesti päällekkäisiä sellaisten tietosuojavaltuutetun aiemmin antamien yksittäisten päätösten kanssa, jotka koskivat tiettyjä Europolin jo aiemmin toteuttamia menettelyjä. Samankaltaisessa tilanteessa oli perusteltua, että Europolille annettu harkintavalta mahdollisti itsessään sen, ettei se noudattanut tietosuojavaltuutetun 3.1.2022 antamaa päätöstä.
77. Edellä esitetystä riippumatta en ole kovinkaan varma siitä, pitäisikö harkintavaltaa koskevan edellytyksen koskea nyt käsiteltävän asian olosuhteissa Europolin menettelyä. Jos riidanalaiset siirtymäsäännökset käsitykseni mukaisesti koskevat tietosuojavaltuutettua suoraan ja – kuten jäljempänä nähdään – myös erikseen, se johtuu siitä, että niillä on oikeusvaikutuksia tietosuojavaltuutetun yksittäiseen päätökseen nähden ja että ne on tältä osin osoitettu sille. Tietosuojavaltuutetulla ei ollut lainkaan toimintavapautta kyseisen päätöksen kohteen osalta sen jälkeen, kun sen toimintaa oli riidanalaisten siirtymäsäännösten vaikutuksesta ehdottomasti mukautettava tällaisissa säännöksissä edellytetyllä tavalla.
78. Tietosuojavaltuutetun esittämistä tosiseikoista ja valituksenalaisessa määräyksessä kuvattujen tosiseikkojen perusteella voidaan mielestäni päätellä, että riidanalaiset siirtymäsäännökset koskivat tietosuojavaltuutettua suoraan. Toistan, että se, vaarantuiko sen toimivalta tai loukattiinko sen riippumattomuutta tässä yhteydessä, on asiakysymys, jonka tietosuojavaltuutettu saattoi unionin yleisen tuomioistuimen käsiteltäväksi.
79. Tietosuojavaltuutetun 3.1.2022 antaman päätöksen ja riidanalaisten siirtymäsäännösten välinen ristiriita osoittaa, että oli vähintäänkin oikeutettua väittää lainsäätäjän pyrkineen muutetulla Europol-asetuksella oikaisemaan tietosuojavaltuutetun päätöstä, joka oli saanut lainvoiman (Europol ei ollut hakenut siihen muutosta).
80. On nimittäin todettava seuraavaa:
– Tietosuojavaltuutettu oli yhtäältä vaatinut Europolia luokittelemaan 12 kuukauden määräajassa tiedot, jotka olivat sen hallussa 3.1.2022.
– Toisaalta riidanalaisissa siirtymäsäännöksissä a) pidennettiin 18 kuukauteen sitä jatkettavissa olevaa määräaikaa, jonka kuluessa Europolin on luokiteltava tiedot, jotka ovat sen hallussa kyseisten säännösten tullessa voimaan eli 28.6.2022, ja b) täsmennettiin, millä edellytyksin ja mitä menettelyjä noudattaen Europolille ennen 28.6.2022 toimitettujen muihin kuin alkuperäisen Europol-asetuksen liitteessä II lueteltuihin rekisteröityjen ryhmiin liittyvien henkilötietojen käsittely hyväksytään vireillä olevan rikostutkinnan tukemiseksi.
81. Tietosuojavaltuutettu huolehtii sen varmistamisesta, ettei se vaadi asiavaltuutta kanteen nostamiseksi sen tehtävien sisältöön sovellettaviin oikeussääntöihin tehtävistä muutoksista. Se voi myöskin myöntää – kuten se istunnossa teki – ettei sillä ollut mitään syytä riitauttaa uutta sääntelyä, jos sitä sovelletaan vain tulevaisuudessa.
82. Se kuitenkin toteaa muutoksen tässä tapauksessa vaikuttavan siihen siltä osin kuin sillä muutetaan sellaisen aiemman lainvoimaisen päätöksen sisältöä, jonka se antoi voimassa olevan lainsäädännön mukaisesti, mikä aiheuttaa ns. ennakoivan noudattamisen vaaran, joka voi loukata sen riippumattomuutta.
83. Parlamentin tavoin voidaan pohtia riidanalaisten siirtymäsäännösten mahdollista taannehtivaa vaikutusta. Vaikka niiden taannehtivuus myönnettäisiin, on silti kiistanalaista, vaarantavatko ne tietosuojavaltuutetun riippumattomuden. Olen yleisesti sitä mieltä, että kun lainsäätäjä muuttaa sellaisten säännösten aineellista sisältöä, joita hallintoelimen on sovellettava, se ei tästä syystä vaaranna tällaisen elimen riippumattomuutta.(36)
84. Korostan kuitenkin, että tämä on tietosuojavaltuutetun kumoamiskanteessaan esittämä asiakysymys, jota ei voida jättää huomiotta hylkäämällä se ennakolta. Tosiasiassa unionin yleinen tuomioistuin ottaa ennakolta huomioon aineelliset perustelunsa, jotka koskevat tietosuojavaltuutetun aineellisoikeudellisia vaatimuksia, kumoamiskanteen tutkimatta jättämistä koskevan ratkaisun perusteena.
85. Myös vaatimuksen siitä, että toimi koskee tietosuojavaltuutettua erikseen, voidaan olettaa täyttyvän riidanalaisten siirtymäsäännösten väliaikaisuuden perusteella, ja vaikka unionin yleinen tuomioistuin ei ole lausunut tästä näkökohdasta, siihen on vastattava tässä oikeusasteessa.(37)
86. Se, että toimi koskee tietosuojavaltuutettua erikseen, käy mielestäni selvästi ilmi pelkästään riidanalaisten siirtymäsäännösten antamiseen johtaneen lainsäädäntömenettelyn vaiheiden välisestä yhteydestä. Unionin yleinen tuomioistuin on eritellyt ne valituksenalaisen määräyksen 5–11 kohdassa.
87. Kyseisistä kohdista ilmenee, että lainsäädäntömenettely alkoi ennen tietosuojavaltuutetun 3.1.2022 antamaa päätöstä, tarkkaan ottaen komission 9.12.2020 esittämästä ehdotuksesta alkuperäisen Europol-asetuksen muuttamiseksi. Tietosuojavaltuutettu puolsi lausunnossa nro 4/2021(38) tietyin varauksin kyseistä ehdotusta.
88. On merkille pantavaa, että riidanalaiset siirtymäsäännökset lisättiin asetukseen hieman tietosuojavaltuutetun 3.1.2022 antaman päätöksen jälkeen eli 1.2.2022, viimeisten kolmikantaneuvottelujen jälkeen. Kaikki viittaa siihen, että näiden säännösten lisääminen perustuu 24.1.2022 päivättyyn neuvoston asiakirjaan nro 5370/22, joka koskee kolmikantaneuvotteluihin valmistautumista.(39) Siinä todetaan seuraavaa:
– ”[tietosuojavaltuutetun] äskettäin antama päätös, joka saattaa vaikuttaa Europolin toimintaan, osoittaa, että asetus on tarpeen antaa nopeasti”
– ”puheenjohtajavaltio on ehdottanut valtuuskunnille uuden artiklan 74 [a], jonka tavoitteena olisi selventää Europolin hallussa tällä hetkellä olevien tietojen tilannetta, erityisesti tietosuojavaltuutetun edellä mainitun 3.1.2022 päivätyn päätöksen yhteydessä, lisäämistä”, ja
– ”useat valtuuskunnat suhtautuivat myönteisesti kyseisen ehdotuksen periaatteisiin 19.1.[2022] pidetyssä kokouksessa, mutta komitean hyväksyntä on tarpeen sen äskettäin pitämän esitelmän ja niiden kysymysten vuoksi, jotka ovat nousseet tietosuojavaltuutetun antaman päätöksen jälkeen”.(40)
89. On vaikea kiistää, että riidanalaiset siirtymäsäännökset ovat nimenomainen vastaus 3.1.2022 annettuun päätökseen ja että ne on näin ollen osoitettu tietosuojavaltuutetulle erikseen. Kyse on säännöistä, joilla tietosuojavaltuutetun kyseisen päätöksen, jota ei voinut enää riitauttaa, koska se oli jo tullut lainvoimaiseksi, asettaman vaatimuksen vuoksi pyritään korvaamaan päätöksen sisältö ja seuraukset.
90. En ymmärrä, miten tässä tilanteessa voidaan hyväksyä, etteivät riidanalaiset siirtymäsäännökset koske tietosuojavaltuutettua suoraan ja erikseen, kun niillä pyritään erityisesti tehdä tyhjäksi tietosuojavaltuutetun antama yksittäinen ja jo lainvoimainen päätös.
91. Tietosuojavaltuutetun on varmistettava asetuksen (EU) 2018/1725(41) säännösten soveltaminen ja valvottava sitä ”ja muiden unionin säädösten niiden säännösten soveltamista, jotka koskevat luonnollisten henkilöiden perusoikeuksien ja ‑vapauksien suojelua unionin toimielimen tai elimen suorittaman henkilötietojen käsittelyn yhteydessä”.(42)
92. Jos tietosuojavaltuutettu tätä toimivaltaa käyttäessään vaatii unionin elintä yksittäistapauksessa toimimaan tietyllä tavalla ja kyseisen päätöksen (josta tulee lainvoimainen) johdosta annetaan myöhemmin säännös, jonka tarkoituksena on erityisesti päätöksen neutralisointi, tietosuojavaltuutetulle on nähdäkseni annettava mahdollisuus saattaa asia unionin tuomioistuinten käsiteltäväksi, jotta ne antaisivat ratkaisun (uuden) säännöksen pätevyydestä.
93. Näin ollen katson, että – ottamatta ennalta kantaa sen tietosuojavaltuutetun unionin yleisessä tuomioistuimessa esittämän kysymyksen asiasisältöön, joka koskee riidanalaisten siirtymäsäännösten pätevyyttä – kyseiset säännökset koskevat tietosuojavaltuutettua riittävässä määrin, jotta niillä voidaan oikeuttaa asiavaltuus, joka siltä evättiin valituksenalaisessa määräyksessä.
C Riita-asian lopullinen ratkaisu
94. Euroopan unionin tuomioistuimen perussäännön 61 artiklassa määrätään, että jos muutoksenhaku todetaan aiheelliseksi, unionin yleisen tuomioistuimen ratkaisu kumotaan, ja unionin tuomioistuin voi joko itse ratkaista asian lopullisesti, jos asia on ratkaisukelpoinen, tai palauttaa asian unionin yleisen tuomioistuimen ratkaistavaksi.
95. Tietosuojavaltuutettu vaatii unionin tuomioistuinta ratkaisemaan ensimmäisessä oikeusasteessa esitetyn asiakysymyksen lopullisesti.
96. Mielestäni asia ei ole ratkaisukelpoinen, jotta unionin tuomioistuin voisi ratkaista sen lopullisesti. Tosiasiallisesti tietosuojavaltuutettukin myöntää tämän ja vaatii antamaan lopullisen tuomion sen jälkeen, kun kaikille asianosaisille on annettu mahdollisuus esittää huomautuksensa jokaisesta asiaan liittyvästä näkökohdasta.(43)
97. Ensimmäisessä oikeusasteessa pidetyssä käsittelyssä tarkasteltiin enimmäkseen tietosuojavaltuutetun riidanalaisista siirtymäsäännöksistä nostaman kanteen tutkittavaksi ottamista. Vaikka tätä kysymystä ratkaistaessa on – kuten edellä juuri totesin – ennakoitu tiettyjen asiakysymykseen liittyvien seikkojen arviointia, asiakysymystä ei ole käsitelty kokonaisuudessaan, vaan ainoastaan välineellisesti, yksinomaan ratkaisun antamiseksi tietosuojavaltuutetun asiavaltuudesta, jonka parlamentti ja neuvosto ovat kiistäneet. Näin ollen asia on palautettava unionin yleisen tuomioistuimen ratkaistavaksi asianmukaisen kontradiktorisen käsittelyn perusteella.
D Oikeudenkäyntikulut
98. Unionin tuomioistuimen työjärjestyksen 184 artiklan mukaisesti parlamentti ja neuvosto on velvoitettava korvaamaan tässä oikeusasteessa aiheutuneet oikeudenkäyntikulut, koska tietosuojavaltuutettu on sitä vaatinut, ja Saksan liittotasavallan ja Ranskan tasavallan on vastattava omista oikeudenkäyntikuluistaan.
V Ratkaisuehdotus
99. Edellä esitetyn perusteella ehdotan, että unionin tuomioistuin
– hyväksyy valituksen
– kumoaa unionin yleisen tuomioistuimen 6.9.2023 antaman määräyksen tietosuojavaltuutettu vastaan parlamentti ja neuvosto (T‑578/22, EU:T:2023:522)
– palauttaa asian Euroopan unionin tuomioistuimen perussäännön 61 artiklan mukaisesti unionin yleisen tuomioistuimen ratkaistavaksi asiakysymyksen osalta
– velvoittaa Euroopan parlamentin ja Euroopan unionin neuvoston korvaamaan oikeudenkäyntikulut
– määrää, että Saksan liittotasavalta ja Ranskan tasavalta vastaavat omista oikeudenkäyntikuluistaan.
1 Alkuperäinen kieli: espanja.
2 T‑578/22, EU:T:2023:522. Jäljempänä valituksenalainen määräys.
3 Euroopan unionin lainvalvontayhteistyövirastosta (Europol) sekä neuvoston päätösten 2009/371/YOS, 2009/934/YOS, 2009/935/YOS, 2009/936/YOS ja 2009/968/YOS korvaamisesta ja kumoamisesta 11.5.2016 annettu Euroopan parlamentin ja neuvoston asetus (EUVL 2016, L 135, s. 53). Jäljempänä alkuperäinen Europol-asetus.
4 Asetuksen (EU) 2016/794 muuttamisesta siltä osin kuin on kyse Europolin yhteistyöstä yksityisten osapuolten kanssa, Europolin suorittamasta henkilötietojen käsittelystä rikostutkintojen tukemiseksi sekä Europolin roolista tutkimuksessa ja innovoinnissa 8.6.2022 annettu Euroopan parlamentin ja neuvoston asetus (EUVL 2022, L 169, s. 1). Jäljempänä viittaan tästä muutoksesta seuraavaan Europo-asetuksen versioon ilmaisulla ”muutettu Europol-asetus”.
5 Kyse on kahdesta siirtymäsäännöksestä (74 a ja 74 b artikla, jäljempänä riidanalaiset siirtymäsäännökset), joista edellinen koskee nyt käsiteltävän asian kannalta relevanttia vireillä olevan rikostutkinnan tukemiseksi tapahtuvaa henkilötietojen käsittelyä ja jälkimmäinen Europolin hallussa olevien henkilötietojen käsittelyä.
6 Alkuperäisen Europol-asetuksen 18 artiklan (”Tietojenkäsittelytoimien tarkoitukset”) 3 ja 5 kohdassa säädettiin seuraavaa:
”3. Edellä 2 kohdan c alakohdassa tarkoitettu käsittely operatiivisia analyyseja varten suoritetaan operatiivisia analyyseja koskevien hankkeiden avulla, ja niihin sovelletaan seuraavia erityistakeita:
a) jokaista operatiivista analyysia koskevaa hanketta varten pääjohtaja määrittelee erityistarkoituksen, henkilötietoluokat ja rekisteröityjen ryhmät, osallistujat, tietojen säilytysajan sekä kyseessä oleviin tietoihin pääsyn ja niiden siirron ja käytön ehdot sekä ilmoittaa näistä hallintoneuvostolle ja Euroopan tietosuojavaltuutetulle;
b) henkilötietoja voidaan kerätä ja käsitellä ainoastaan tiettyä operatiivista analyysia koskevaa hanketta varten. Jos käy ilmi, että henkilötiedot voivat olla olennaisia toisen operatiivista analyysia koskevan hankkeen kannalta, tietojen jatkokäsittely sallitaan ainoastaan, sikäli kuin tällainen jatkokäsittely on tarpeellista ja oikeasuhteista ja henkilötiedot ovat yhdenmukaisia a alakohdassa esitettyjen säännösten kanssa, joita sovelletaan kyseiseen toiseen operatiivista analyysia koskevaan hankkeeseen;
c) ainoastaan valtuutetuilla henkilöstön jäsenillä on pääsy kyseisen hankkeen tietoihin, ja he voivat käsitellä niitä.
– –
5. Eri henkilötietoluokat ja ne rekisteröityjen ryhmät, joiden tietoja voidaan kerätä ja käsitellä kutakin 2 kohdassa mainittua tarkoitusta varten, luetellaan liitteessä II.”
7 Alkuperäisen Europol-asetuksen 18 artiklan 6 kohdassa säädettiin seuraavaa: ”Europol voi tilapäisesti käsitellä tietoja sen selvittämiseksi, ovatko ne merkityksellisiä sen tehtävien kannalta ja, jos näin on, minkä 2 kohdan mukaisen tarkoituksen kannalta ne ovat merkityksellisiä. Hallintoneuvosto täsmentää pääjohtajan ehdotuksesta ja Euroopan tietosuojavaltuutettua kuultuaan tällaisten tietojen käsittelyä sekä erityisesti niihin pääsyä ja käyttöä koskevat ehdot samoin kuin tietojen säilyttämistä ja poistamista koskevat määräajat, jotka eivät saa ylittää kuutta kuukautta, ottaen asianmukaisesti huomioon 28 artiklassa tarkoitetut periaatteet.”
8 Tuomio 22.5.1990, Parlamentti v. neuvosto (C‑70/88, EU:C:1990:217; jäljempänä tuomio parlamentti v. neuvosto).
9 Valituksenalaisen määräyksen 23 kohta.
10 Valituksenalaisen määräyksen 21 kohta.
11 Valituksenalaisen määräyksen 22 kohta.
12 Tuomio 17.12.2020, Saksa v. komissio (C‑475/19 P ja C‑688/19 P, EU:C:2020:1036; jäljempänä tuomio Saksa v. komissio, 33 kohta), johon neuvosto vetoaa.
13 Edellä alaviitteessä 12 mainittu tuomion kohta oikeuskäytäntöviittauksineen.
14 Unionin yleinen tuomioistuin huomauttaa näin valituksenlaisen määräyksen 27 kohdassa.
15 Yksilöiden suojelusta yhteisöjen toimielinten ja elinten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 18.12.2000 annetun Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 45/2001 (EYVL 2001, L 8, s. 1) 41 artiklan 1 kohta.
16 Valituksenalaisen määräyksen 29 kohta, jossa viitataan 14.7.2022 annettuun tuomioon Italia ja Comune di Milano v. neuvosto ja parlamentti (Euroopan lääkeviraston kotipaikka) (C‑106/19 ja C‑232/19, EU:C:2022:568, 113 ja 116 kohta).
17 Valituksenalaisen määräyksen 32 kohta.
18 Valituksenalaisen määräyksen 33 kohdassa todetaan seuraavaa: ”tietosuojavaltuutetun asema riippumattomana valvontaviranomaisena mainitaan SEUT 16 artiklan 2 kohdassa, jossa määrätään, että luonnollisten henkilöiden suojaa koskevien sääntöjen, jotka koskevat unionin toimielinten, elinten ja laitosten suorittamaa henkilötietojen käsittelyä, noudattamista valvoo riippumaton viranomainen, ja perusoikeuskirjan 8 artiklan 3 kohdassa, jossa määrätään, että riippumaton viranomainen valvoo henkilötietojen suojaa koskevien sääntöjen noudattamista”.
19 Valituksenalaisen määräyksen 41 kohta. Tuomiossa parlamentti v. neuvosto (16 kohta) myönnettiin, että eri oikeussuojatiet, joita oli 27.9.1988 annetussa tuomiossa parlamentti v. neuvosto (302/87, EU:C:1988:461) pidetty riittävinä saattamaan parlamentin oikeuksia loukkaavat neuvoston tai komission toimet tuomioistuinvalvonnan kohteeksi, voivat osoittautua ”tehottomiksi tai epävarmoiksi”.
20 Tuomio parlamentti v. neuvosto, 21 kohta.
21 Tuomio parlamentti v. neuvosto, 23 kohta.
22 Tuomio parlamentti v. neuvosto, 25 kohta.
23 Tuomio parlamentti v. neuvosto, 26 kohta.
24 Tuomio parlamentti v. neuvosto, 27 kohta. Kursivointi tässä.
25 Sen valituksen 30 kohta.
26 Tästä näkökulmasta tarkasteltuna sillä ei ole merkitystä, että tietosuojavaltuutetun osalta näiden edellytysten täyttyminen on seurausta nyt käsiteltävän asian erittäin poikkeuksellisista olosuhteista.
27 Sen valituksen 32 ja 33 kohta.
28 Tuomio 6.11.2018, Scuola Elementare Maria Montessori v. komissio, komissio v. Scuola Elementare Maria Montessori ja komissio v. Ferracci (C‑622/16 P–C‑624/16 P, EU:C:2018:873, 47 kohta): ”siltä osin kuin se, että toimen katsotaan koskevan yksityistä suoraan, edellyttää, että riidanalaisella toimella on välittömiä vaikutuksia kantajan oikeusasemaan, unionin tuomioistuinten on selvitettävä, onko kantaja esittänyt asianmukaisesti syitä sille, että komission päätös voi asettaa kantajan epäedulliseen kilpailutilanteeseen ja näin ollen vaikuttaa tämän oikeusasemaan”. Kursivointi tässä.
29 Valituksenalaisen määräyksen 74 kohta.
30 Valituksenalaisen määräyksen 78 kohta.
31 Mm. tuomio 12.7.2022, Nord Stream 2 v. parlamentti ja neuvosto (C‑348/20 P, EU:C:2022:548, 43 ja 44 kohta oikeuskäytäntöviittauksineen).
32 Valituksenalaisen määräyksen 80 ja 82 kohta.
33 Valituksenalaisen määräyksen 83 kohta.
34 Tuomio 12.7.2022, Nord Stream 2 v. parlamentti ja neuvosto (C‑348/20 P, EU:C:2022:548, 98 kohta oikeuskäytäntöviittauksineen).
35 Valituksenalaisen määräyksen 13 kohta.
36 Istunnossa keskusteltiin laajasti tästä kysymyksestä, joka nähdäkseni liittyy tietosuojavaltuutetun vaatimusten aineelliseen arviointiin eikä kanteen tutkittavaksi ottamisen arviointiin.
37 Vaikka unionin yleinen tuomioistuin olisi katsonut, ettei toimi koske tietosuojavaltuutettua suoraan, sen päätös jättää tutkimatta tietosuojavaltuutetun kanne voitaisiin lopulta oikeuttaa muiden oikeudellisten perusteiden nojalla, etenkin jos edellytys siitä, että toimi koskee tietosuojavaltuutettua suoraan, ei täyttyisi. Mm. tuomio 6.11.2018, Scuola Elementare Maria Montessori v. komissio, komissio v. Scuola Elementare Maria Montessori ja komissio v. Ferracci (C‑622/16 P – C‑624/16 P, EU:C:2018:873) 48 kohta oikeuskäytäntöviittauksineen ja tuomio 22.6.2021, Venezuela v. neuvosto (Kolmanteen valtioon kohdistuva vaikutus) (C‑872/19 P, EU:C:2021:507, 86 ja 87 kohta).
38 Tietosuojavaltuutetun 8.3.2021 antama lausunto, joka koskee ehdotusta Europol-asetuksen muuttamiseksi, saatavana osoitteessa https://www.edps.europa.eu/data-protection/our-work/publications/opinions/edps-opinion-proposal-amendment-europol-regulation_en.
39 Saatavana osoitteessa https://data.consilium.europa.eu/doc/document/ST‑5370-2022-INIT/fr/pdf.
40 Valituksenalaisen määräyksen 11 kohta.
41 Luonnollisten henkilöiden suojelusta unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta sekä asetuksen (EY) N:o 45/2001 ja päätöksen N:o 1247/2002/EY kumoamisesta 23.10.2018 annettu Euroopan parlamentin ja neuvoston asetus (EUVL 2018, L 295, s. 39).
42 Asetuksen 2018/1725 52 artiklan 3 kohta.
43 Valituskirjelmän 68 kohdan loppuosa.