Pagaidu versija

ĢENERĀLADVOKĀTES LAILAS MEDINAS

SECINĀJUMI,

sniegti 2026. gada 8. oktobrī (1)

Lieta C‑222/25

X

pret

Rahapesu Andmebüroo,

pieaicinātā pārvaldes iestāde:

Andmekaitse Inspektsioon

(Riigikohus (Augstākā tiesa, Igaunija) lūgums sniegt prejudiciālu nolēmumu

Lūgums sniegt prejudiciālu nolēmumu – Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Regula (ES) 2016/679 – 2. panta 2. punkta d) apakšpunkts – Direktīva (ES) 2016/680 – 1. panta 1. punkts – Piemērošanas joma – Jēdziens “kompetentā iestāde” – Direktīva (ES) 2015/849 – Finanšu sistēmas izmantošanas noziedzīgi iegūtu līdzekļu legalizēšanai un terorisma finansēšanai novēršana – Finanšu ziņu vākšanas vienības (FIU) – Tādu personas datu apstrāde, apmaiņa ar kuriem veikta aizdomu par noziedzīgi iegūtu līdzekļu legalizēšanu dēļ – Datu subjekta piekļuves tiesības – Ierobežojumi, kas noteikti leģislatīvā pasākumā – Netieša piekļuve ar uzraudzības iestādes starpniecību

I.      Ievads

1.        Noziedzība, noziedzīgi iegūti līdzekļi un prettiesiskas naudas plūsmas nepazīst robežas. Pēdējās desmitgadēs Eiropas Savienība ir izstrādājusi stabilu satvaru noziedzīgi iegūtu līdzekļu legalizēšanas un terorisma finansēšanas novēršanai (turpmāk – NILL/TFN). Šis satvars pastāvīgi attīstās atbilstīgi starptautiskā mērogā šajā jomā veiktajiem centieniem un jo īpaši Finanšu darījumu darba grupas (Financial Action Task Force, turpmāk – FATF) (2) ieteikumiem, kā arī instrumentiem, ko izstrādājušas citas starptautiskas struktūras, kuras darbojas NILL/TFN jomā (3). Finanšu izlūkošana un finanšu informācijas apmaiņa ir šo centienu stūrakmens. Valstu finanšu izlūkošanas iestādes jeb t.s. finanšu ziņu vākšanas vienības (Financial Intelligence Units, turpmāk – FIU) ir būtiska Savienības un starptautiskā NILL/TFN satvara sastāvdaļa (4).

2.        Pildot savu pamatuzdevumu vākt, analizēt un izplatīt finanšu izlūkošanas informāciju, FIU apstrādā lielu apjomu personas datu. Lai arī šīs vienības ir apveltītas ar plašām pilnvarām un apstrādā lielu apjomu datu, tām piemērojamais datu aizsardzības regulējums vēl nav pavisam skaidrs. Šajā lietā Tiesai pirmo reizi rodas iespēja iedziļināties jautājumos par FIU tiesisko statusu, tām piemērojamo datu aizsardzības regulējumu un nosacījumiem, ar kādiem ierobežojamas datu subjektu tiesības piekļūt FIU rīcībā esošajiem personas datiem.

II.    Pamatlietas fakti, tiesvedība valsts tiesās un prejudiciālie jautājumi

3.        2019. gada 16. decembrī un 2019. gada 27. decembrī X iesniedza divus atsevišķus informācijas pieprasījumus Rahapesu Andmebüroo (Finanšu izlūkošanas dienests, Igaunija; turpmāk – RAB), lai noskaidrotu, vai tas par viņu ir nosūtījis kādu informāciju Igaunijas vai ārvalstu kredītiestādēm vai ārvalstu iestādēm, vai saņēmis no tām kādus informācijas pieprasījumus.

4.        2019. gada 20. decembrī RAB noraidīja pirmo un 2020. gada 6. janvārī otro no šiem pieprasījumiem, pamatojoties uz to, ka saskaņā ar 2017. gada 26. oktobra Rahapesu ja terrorismi rahastamise tõkestamise seadus (Likums par noziedzīgi iegūtu līdzekļu legalizēšanas un terorisma finansēšanas novēršanu; RT I, 17.11.2017., 2; turpmāk – RahaPTS) (5) 60. panta 1. punktu un 2000. gada 15. novembra Avaliku teabe seadus (Informācijas atklātības likums; RT I 2000, 92, 597; turpmāk – AvTS) (6) 23. panta 1. punkta 1. apakšpunktu tas nedrīkst izpaust nedz jebkādus pienākumu izpildes gaitā ievāktos datus, nedz informāciju par šādu datu esību vai jebkādu šo datu apmaiņu. Atbildot uz tam sekojošo X pieprasījumu precizēt piekļuves ierobežojuma iemeslu, RAB atkārtoja, ka, pamatojoties uz RahaPTS 60. panta 1. punktu, tā nedrīkst nedz apstiprināt pieprasītās informācijas esību, nedz šo informāciju izpaust.

5.        Tallinna Halduskohus (Tallinas Administratīvā tiesa, Igaunija) un pēc tam Tallina Ringkonnakohus (Tallinas apgabaltiesa, Igaunija) noraidīja X celto prasību par viņa pieprasījumu noraidīšanu. Ar Riigikohus (Augstākā tiesa, Igaunija) 2022. gada 24. marta spriedumu abi šie spriedumi tika atcelti un RAB uzdots pieņemt jaunu lēmumu par X pieprasījumiem.

6.        Šajā spriedumā Riigikohus (Augstākā tiesa) nosprieda, ka saskaņā ar Direktīvas (ES) 2015/849 (7) 41. pantu, ņemot vērā, ka šis nav kriminālprocess, X tiesībām piekļūt saviem datiem ir piemērojama Regula (ES) 2016/679 (8).

7.        Tā arī nosprieda, ka RahaPTS 60. panta 1. punkts pats par sevi nenoteic datu subjekta tiesību ierobežojumu, bet gan piešķir RAB vadītājam pilnvaras ierobežot piekļuvi informācijai, kuru viņš kvalificējis par iestādes iekšējai lietošanai paredzētu informāciju. Taču šajā lietā šāds lēmums nebija pieņemts.

8.        Pa to laiku X iesniedza RAB trešo informācijas pieprasījumu, lai noskaidrotu, vai tas attiecībā uz viņu uzsācis pārbaudes lietu un iesniedzis pieprasījumus Amerikas Savienotajām Valstīm, taču arī šo pieprasījumu RAB noraidīja.

9.        X iesniedza administratīvu sūdzību Andmekaitse Inspektsioon (Datu aizsardzības iestāde, Igaunija; turpmāk – AKI). AKI apmierināja šo administratīvo sūdzību un uzlika RAB pienākumu izskatīt informācijas pieprasījumu no jauna. 2022. gada 17. februārī RAB vēlreiz noraidīja informācijas pieprasījumu, un X pēc tam iesniedza jaunu administratīvo sūdzību AKI.

10.      Ar 2022. gada 18. aprīļa lēmumu AKI izdeva rīkojumu par pagaidu noregulējumu, uzdodot RAB sniegt pieprasīto informāciju un norādot, ka datu subjekta tiesības nav ierobežojamas saskaņā ar RahaPTS 60. panta 1. punktu.

11.      2022. gada 22. aprīlī RAB vadītājs saskaņā ar RahaPTS 60. panta 1. punkta otro teikumu pieņēma lēmumu ierobežot X piekļuvi, pamatojoties uz RAB pienākumu saglabāt RAB datubāzē esošās informācijas konfidencialitāti nolūkā aizsargāt Igaunijas finanšu sistēmu.

12.      2022. gada 13. maijā RAB vadītājs izdeva rīkojumu, ar kuru ar atpakaļejošu spēku tika ierobežota piekļuve RAB datubāzē ietvertajiem datiem un atzīts, ka finanšu ministra 2020. gada 16. decembra Dekrēta Nr. 56 par Rahapesu Andmebüroo andmekogu põhimäärus (RAB datubāzes nolikums) (9) 8.–17. pantā minētie dati ir informācija, kas paredzēta izmantošanai vienīgi šīs iestādes vajadzībām (turpmāk – RAB vadītāja rīkojums).

13.      2022. gada 19. maijā RAB vadītājs pieņēma lēmumu, kurā atkārtoti atteicās apmierināt X informācijas pieprasījumu, atsaucoties uz AvTS 23. panta 1. punkta 1. apakšpunktu un piekļuves ierobežojumiem, kas noteikti 2022. gada 22. aprīļa lēmumā un RAB vadītāja rīkojumā.

14.      2022. gada 22. aprīļa un 2022. gada 19. maija lēmumus, kā arī RAB vadītāja rīkojumu X apstrīdēja Tallinna Halduskohus (Tallinas Administratīvā tiesa). Šī tiesa ar 2022. gada 19. decembra spriedumu šo prasību apmierināja. Tā atzina RahaPTS 60. panta 1. punktu par nesaderīgu ar VDAR 23. pantu. Šajā ziņā tā norādīja, ka RahaPTS 60. panta 1. punkts neprecizē nedz to, kādas RAB darbības ietver personas datu apstrādi, nedz iemeslus, kuru dēļ tiek atteikta informācija par personas datu apstrādi, nedz ierobežojuma ilgumu. Tāpēc tā uzdeva RAB no jauna lemt par X informācijas pieprasījumiem.

15.      Par šo spriedumu RAB iesniedza apelācijas sūdzību Tallinna Ringkonnakohus (Tallinas apgabaltiesa), kura to noraidīja ar 2024. gada 10. aprīļa spriedumu. Šī tiesa apstiprināja pārsūdzētā sprieduma pamatojumu, norādot, ka RahaPTS 60. panta 1. punkts nav skaidrs un precīzs un ka tas neļauj datu subjektiem noskaidrot ierobežojuma ilgumu. Tā arī atzina, ka apstrīdētajos lēmumos un apstrīdētajā RAB rīkojumā ir noteikts absolūts un ilguma ziņā neierobežots piekļuves tiesību ierobežojums, kas nav samērīgs.

16.      Par Tallinna Ringkonnakohus (Tallinas apgabaltiesa) spriedumu RAB iesniedza kasācijas sūdzību Riigikohus (Augstākā tiesa), kas ir iesniedzējtiesa.

17.      Pirmkārt, iesniedzējtiesa lūdz Tiesu precizēt, kāds datu aizsardzības regulējums ir piemērojams RAB apstrādātajiem datiem, ņemot vērā, no vienas puses, Direktīvas 2015/849 41. pantu, kas noteic, ka datu apstrādei, kas veikta saskaņā ar šo direktīvu, piemēro VDAR, un, no otras puses, Direktīvas (ES) 2018/843 (10) 40. apsvērumu, kurā teikts, ka šī direktīva neskar to personas datu aizsardzību, kurus kompetentās iestādes apstrādā saskaņā ar Direktīvu (ES) 2016/680 (11).

18.      Iesniedzējtiesa norāda – apstāklim, ka RAB nav izmeklēšanas iestāde un nevada kriminālprocesu, var arī nebūt izšķiroša nozīme, lai VDAR piemērošanas jomu nošķirtu no Direktīvas 2016/680 piemērošanas jomas, ņemot vērā spriedumu La Quadrature du Net u.c. (Personas dati un intelektuālā īpašuma tiesību pārkāpumu apkarošana) (12).

19.      Otrkārt, iesniedzējtiesa jautā, vai, pamatojoties uz VDAR 23. panta 2. punkta h) apakšpunktu vai Direktīvas 2016/680 15. panta 3. punktu, RAB drīkst nenorādīt piekļuves atteikuma juridisko pamatu. Šajā ziņā tā norāda, ka VDAR nav neviena tāda mehānisma datu subjekta tiesību netiešai īstenošanai ar kompetentās uzraudzības iestādes starpniecību, kas būtu līdzvērtīgs Direktīvas 2016/680 17. panta 1. punktā paredzētajam mehānismam.

20.      Treškārt, iesniedzējtiesa uzsver, ka, lai arī datu subjekta tiesību ierobežošana ar leģislatīvu pasākumu ir atļauta neatkarīgi no tā, vai konkrētajā gadījumā ir piemērojama VDAR vai Direktīva 2016/680, attiecīgajam leģislatīvajam pasākumam jāatbilst skaidrības un precizitātes prasībām un tā piemērošanai jābūt paredzamai.

21.      Iesniedzējtiesa norāda, ka RahaPTS 60. panta 1. punktā nav skaidri noteikti nedz nosacījumi, ar kādiem RAB vadītājs var pieņemt lēmumu ierobežot piekļuvi informācijai, nedz piekļuves ierobežojuma piemērojamība ratione temporis vai ratione materiae. Datu subjekta tiesību ierobežojums var ilgt līdz RAB datubāzes nolikuma 26. pantā noteikto glabāšanas termiņu beigām (parasti 15 gadi). Pēc tam datu subjektiem vairs nav iespējams saņemt informāciju saviem personas datiem tāpēc, ka šie dati tiek dzēsti.

22.      Turklāt RahaPTS 60. panta 1. punkta otrajā teikumā paredzētā piekļuves ierobežojuma nolūku iespējams noskaidrot, tikai interpretējot šo tiesību normu kopsakarā ar citām šā paša likuma normām un tiesību aktiem par noziedzīgi iegūtu līdzekļu legalizēšanas un terorisma finansēšanas novēršanu.

23.      Visbeidzot iesniedzējtiesa jautā, vai VDAR 23. pantam un Direktīvas 2016/680 15. pantam ir pretrunā tāds valsts tiesiskais regulējums, kurā tiesību piekļūt personas datiem īstenošana ir pilnībā ierobežota līdz pat šo datu iznīcināšanas brīdim.

24.      Šādos apstākļos Riigikohus (Augstākā tiesa) nolēma apturēt tiesvedību un uzdot Tiesai šādus prejudiciālus jautājumus:

“1)      Vai [VDAR] 2. panta 2. punkta d) apakšpunkts un [Direktīvas 2016/680] 2. panta 1. punkts kopsakarā ar šīs direktīvas 1. pantu jāinterpretē tādējādi, ka iespējamo personas datu apstrādi, ko veic [FIU], var uzskatīt par personas datu apstrādi, ko veic kompetentā iestāde, lai novērstu, izmeklētu, atklātu noziedzīgus nodarījumus vai sauktu pie atbildības par tiem, vai izpildītu kriminālsodus, tostarp lai pasargātu no draudiem sabiedriskajai drošībai un tos novērstu, pat ja [FIU] nav izmeklēšanas iestāde kriminālprocesa likuma izpratnē?

2)      Vai VDAR 23. panta 2. punkta h) apakšpunkts un Direktīvas 2016/680 15. panta 3. punkts jāinterpretē tādējādi, ka administratīvā procesā vai tiesvedībā ir iespējams datu subjektam neizpaust arī tiesību aktu – uz kura pamata viņam liegta piekļuve informācijai par saviem personas datiem – tālab, lai izvairītos no viņa personas datu apstrādes fakta apstiprināšanas vai noliegšanas situācijā, kad datu subjektam nav zināms, vai šāda apstrāde ir vai nav notikusi, un vai šādā gadījumā datu subjektam drīkst arī nenodrošināt piekļuvi informācijai par to, vai viņam ir iespēja lūgt veikt Direktīvas 2016/680 17. panta 1. punktā paredzēto pasākumu?

3)      Vai Direktīvas 2016/680 15. pants un VDAR 23. pants jāinterpretē tādējādi, ka ar tiem ir saderīga valsts tiesību norma, kas [FIU] vadītājam piešķir pilnvaras ierobežot datu subjekta tiesības, taču šā ierobežojuma nolūks, nosacījumi, kā arī ilgums un ģeogrāfiskais tvērums var tikt noskaidroti tikai skatot šo normu kopsakarā ar citām, tostarp zemāka juridiskā ranga tiesību normām?

4)      Vai Direktīvas 2016/680 15. pants un VDAR 23. pants jāinterpretē tādējādi, ka ar tiem ir saderīgs valsts tiesiskais regulējums, kurā ir pilnībā ierobežota Direktīvas 2016/680 14. pantā un VDAR 15. pantā paredzēto tiesību īstenošana līdz pat datu iznīcināšanas brīdim, neļaujot datu subjektam tiem jebkad piekļūt?”

25.      Rakstveida apsvērumus iesniedza prasītājs pamatlietā, Igaunijas Republika, Spānijas Karaliste, Somijas Republika un Eiropas Komisija. Igaunijas Republika, Spānijas Karaliste, Francijas Republika, Latvijas Republika, Luksemburgas Lielhercogiste, Nīderlandes Karaliste, Somijas Republika un Komisija piedalījās 2026. gada 3. jūnijā rīkotajā tiesas sēdē un atbildēja uz Tiesas uzdotajiem jautājumiem mutvārdu atbildes sniegšanai.

III. Izvērtējums

A.      Pirmais jautājums (FIU piemērojamais Savienības datu aizsardzības regulējums)

26.      Ar pirmo jautājumu iesniedzējtiesa būtībā vaicā, vai VDAR 2. panta 2. punkta d) apakšpunkts un Direktīvas 2016/680 2. panta 1. punkts, lasot to kopsakarā ar šīs direktīvas 1. panta 1. punktu, jāinterpretē tādējādi, ka tādas FIU kā RAB veikto personas datu apstrādi var uzskatīt par apstrādi, ko veic kompetentā iestāde, lai novērstu, izmeklētu, atklātu noziedzīgus nodarījumus vai sauktu pie atbildības par tiem vai izpildītu kriminālsodus, tostarp lai pasargātu no draudiem sabiedriskajai drošībai un tos novērstu, pat ja attiecīgā FIU nav izmeklēšanas iestāde valsts kriminālprocesa likuma izpratnē.

27.      Ar šo jautājumu ir gribēts noskaidrot, kurš Savienības tiesiskais regulējums datu aizsardzības jomā ir piemērojams FIU, kad tā pilda uzdevumus, kas tai uzticēti saistībā ar NILL/TFN. To noskaidrot ir jo īpaši svarīgi, ņemot vērā atšķirības starp VDAR un Direktīvu 2016/680. Šajā lietā ir svarīgi norādīt uz atšķirību datu subjekta tiesību ierobežojumu apjomā (13), uzraudzības iestādes lomu atbilstoši Direktīvas 2016/680 17. pantam saistībā ar datu subjekta tiesību netiešu īstenošanu, kā arī atšķirībām kārtībā, kas piemērojama datu nosūtīšanai uz trešām valstīm vai organizācijām (14).

28.      Galvenais jautājums, lai noskaidrotu, kurš datu aizsardzības satvars ir piemērojams, ir par to, vai datu apstrāde, ko veic tāda FIU kā RAB, ir uzskatāma par apstrādi, ko veic “kompetentā iestāde” Direktīvas 2016/680 izpratnē. Ja tas tā būtu, RAB veiktā datu apstrāde ietilptu Direktīvas 2016/680 materiālajā piemērošanas jomā saskaņā ar šīs direktīvas 2. panta 1. punktu un 1. panta 1. punktu. Lai iztirzātu šo jautājumu, vispirms sniegšu īsu pārskatu par kritērijiem, pēc kuriem VDAR piemērošanas joma ir nošķirama no Direktīvas 2016/680 piemērošanas jomas. Pēc tam izvērtēšu FIU statusu, uzdevumus un funkcijas, lai noslēgumā izdarītu secinājumu par to, kurš datu aizsardzības satvars ir piemērojams FIU, kad tās pilda savus pamatpienākumus NILL/TFN jomā.

1.      VDAR piemērošanas jomas nošķiršana no Direktīvas 2016/680 piemērošanas jomas

29.      Pamattiesības uz personas datu aizsardzību ir nostiprinātas Eiropas Savienības Pamattiesību hartas (turpmāk – Harta) 8. pantā un LESD 16. panta 1. punktā. Savienības datu aizsardzības satvara pamatā ir trīs pīlāri: VDAR, Direktīva 2016/680 un Savienības iestādēm piemērojamā Regula (ES) 2018/1725 (15).

30.      Kā liecina jau VDAR nosaukums, šajā regulā ir noteikts vispārīgs un horizontāls datu aizsardzības regulējums (16). VDAR 2. panta 2. punkts noteic četrus izņēmumus no šīs regulas piemērošanas jomas, kas noteikta tās 2. panta 1. punktā, un tie jāinterpretē šauri (17).

31.      Konkrētāk, VDAR 2. panta 2. punkta d) apakšpunkts no šīs regulas darbības jomas izslēdz personas datu apstrādi, ko veic kompetentās iestādes, lai novērstu, izmeklētu, atklātu noziedzīgus nodarījumus vai sauktu pie atbildības par tiem, vai izpildītu kriminālsodus, tostarp lai pasargātu no draudiem sabiedriskajai drošībai un tos novērstu.

32.      Šis izņēmums tiesībaizsardzības jomā, kā redzams no VDAR 19. apsvēruma, ir skaidrojams ar to, ka personas datu apstrādi, ko kompetentās iestādes veic šādos nolūkos, reglamentē īpašs Savienības tiesību akts, proti, Direktīva 2016/680, kas tika pieņemta tajā pašā dienā, kad tika pieņemta VDAR (18).

33.      Direktīvas 2016/680 piemērošanas joma, kas paredzēta tās 2. panta 1. punktā, lasot to kopsakarā ar šīs direktīvas 1. panta 1. punktu, tiek noteikta atkarībā no apstrādi veicošās personas vai subjekta un apstrādes nolūkiem (19). Personai, kas veic attiecīgo darbību, jābūt “kompetentajai iestādei” Direktīvas 2016/680 3. panta 7. punkta izpratnē. Apstrādes nolūki ietver noziedzīgu nodarījumu novēršanu, atklāšanu, izmeklēšanu vai saukšanu pie atbildības par tiem vai kriminālsodu izpildi, tostarp aizsardzību pret draudiem sabiedriskajai drošībai un to novēršanu.

34.      No Direktīvas 2016/680 10. apsvēruma izriet, ka jēdziens “kompetentā iestāde” jāsaprot kā saistīts ar personas datu aizsardzību tiesu iestāžu sadarbībā krimināllietās un policijas sadarbībā, ņemot vērā pielāgojumus, kas tālab var izrādīties nepieciešami šo jomu specifisko iezīmju dēļ (20).

35.      “Kompetentās iestādes” definīcija ir rodama Direktīvas 2016/680 3. panta 7. punktā.

36.      Direktīvas 2016/680 3. panta 7. punkts paredz divas kompetento iestāžu kategorijas. Šīs tiesību normas 7. punkta a) apakšpunktā “kompetentā iestāde” ir definēta kā “jebkura publiska iestāde, kuras kompetencē ir novērst, izmeklēt, atklāt noziedzīgus nodarījumus vai saukt pie atbildības par tiem, vai izpildīt kriminālsodus, tostarp pasargāt no draudiem sabiedriskajai drošībai un tos novērst”. Šī definīcija ietver tādas publiskas iestādes kā, piemēram, tiesu iestādes, policiju vai citas tiesībaizsardzības iestādes (21).

37.      Ar 3. panta 7. punkta b) apakšpunktu kompetentās iestādes definīcijā ir ietverta arī “jebkura cita struktūra vai vienība, kam dalībvalsts tiesībās uzticēts īstenot publisku varu un publiskas pilnvaras ar mērķi novērst, izmeklēt, atklāt noziedzīgus nodarījumus vai saukt pie atbildības par tiem, vai izpildīt kriminālsodus, tostarp pasargāt no draudiem sabiedriskajai drošībai un tos novērst”.

38.      Kompetentās iestādes definīcija pēc analoģijas jāpiemēro arī VDAR 2. panta 2. punkta d) apakšpunktam un šajā tiesību normā paredzētajam izņēmumam tiesībaizsardzības jomā (22). No šīs tiesību normas formulējuma skaidri izriet, ka, lai varētu piemērot attiecīgo izņēmumu, abiem nosacījumiem, kas attiecas uz apstrādes nolūkiem un darbības veicēju, jābūt izpildītiem vienlaicīgi (23).

39.      Tādējādi ar to vien, ka datu apstrāde tiek veikta tiesībaizsardzības nolūkos, pašu par sevi vēl nepietiek, lai izslēgtu VDAR piemērojamību (24). Un arī otrādi – ar to, ka datus apstrādā kompetentā iestāde, nepietiek, lai šī apstrāde nonāktu Direktīvas 2016/680 piemērošanas jomā, ja konkrētā apstrāde nav saistīta ar tiesībaizsardzības mērķi (25).

40.      Tiesas judikatūrā ir rodami uzskatāmi piemēri, kā savstarpēji norobežojamas šo abu juridisko instrumentu piemērošanas jomas. Tiesa ir atzinusi, ka atbildīgā Latvijas iestāde (26) nav uzskatāma par “kompetento iestādi” Direktīvas 2016/680 3. panta 7. punkta izpratnē apstākļos, kad tā ceļu satiksmes drošības nolūkos publisko personas datus par pārkāpumu uzskaites punktiem, kas transportlīdzekļu vadītājiem reģistrēti par ceļu satiksmes noteikumu pārkāpumiem. Tādējādi šāda darbība ietilpst VDAR materiālās piemērojamības jomā (27). Tiesa ir arī nospriedusi, ka tad, kad nodokļu iestādes ievāc datus no saimnieciskās darbības subjekta ar nolūku iekasēt nodokli un apkarot krāpšanu nodokļu jomā, tās nav uzskatāmas par “kompetentajām iestādēm” Direktīvas 2016/680 3. panta 7. punkta izpratnē (28).

41.      Toties Tiesa ir uzskatījusi, ka pasažieru datu reģistra (PDR) datu apstrāde, ko – ar nolūku novērst, atklāt, izmeklēt teroristu nodarījumus un smagus noziegumus un saukt pie atbildības par tiem – veic ar Direktīvu (ES) 2016/681 (29) izveidotā Pasažieru informācijas nodaļa (PIN), kuras kompetencē ir novērst, atklāt, izmeklēt teroristu nodarījumus un smagus noziegumus vai saukt pie atbildības par tiem, ietilpst Direktīvas 2016/680 piemērošanas jomā (30).

42.      Tiesa ir arī nospriedusi, ka Direktīva 2016/680 ir piemērojama datu apstrādei, ko veic Haute Autorité pour la diffusion des œuvres et la protection des droits sur internet (Francijas Augstā iestāde darbu izplatīšanai un tiesību aizsardzībai internetā; turpmāk – Hadopi) situācijā, kad šī iestāde veic pasākumus tā sauktās “pakāpeniskās reakcijas” procedūras ietvaros, ciktāl šie pasākumi pēc sava rakstura ir ar tiesvedību tieši saistīti pirmskriminālprocesuāli pasākumi (31).

43.      No šīs judikatūras izriet, ka noziedzības novēršanas kontekstā Direktīvas 2016/680 piemērojamība nav atkarīga no tā, vai attiecīgā valsts iestāde ir izmeklēšanas struktūra saskaņā ar valsts krimināltiesībām. Tā ir atkarīga no attiecīgās publiskās iestādes konkrētajiem uzdevumiem un funkcijām noziedzības novēršanas ķēdē atbilstoši tiesību aktam, kas reglamentē datu apstrādi, kuru šī iestāde veic noziedzības novēršanas nolūkā.

44.      Ņemot vērā iepriekš izklāstītos vispārīgos apsvērumus, tagad izvērtēšu FIU statusu, uzdevumus un funkcijas NILL/TFN jomas regulējumā un pēc tam izvērtēšu, vai FIU atbilst Direktīvas 2016/680 piemērošanas kritērijiem.

2.      FIU statuss, uzdevumi un funkcijas NILL/TFN jomā esošajā Savienības tiesiskajā regulējumā

45.      Dalībvalstu pienākums izveidot FIU ir noteikts Direktīvas 2015/849 (kas pazīstama arī kā Ceturtā NILLTFN direktīva) 32. panta 1. punktā.

46.      Tomēr FIU pastāvēja jau ilgu laiku, pirms tās tika oficiāli atzītas šajā direktīvā (32). Padomes Lēmuma 2000/642/TI (33), kas pieņemts kādreizējā “trešā pīlāra” par policijas un tiesu iestāžu sadarbību krimināllietās (34) ietvaros, 1. panta 1. punktā bija paredzēts dalībvalstu pienākums nodrošināt, ka “FIUs, kas izveidotas vai izraudzītas saņemt finanšu informāciju, lai apkarotu nelikumīgi iegūtu līdzekļu legalizēšanu, atbilstoši valsts pilnvarojumam sadarbotos attiecīgās informācijas vākšanā, analizēšanā un izmeklēšanā FIU par jebkuru jautājumu, kuri var norādīt uz nelikumīgi iegūtu līdzekļu legalizēšanu”. Saskaņā ar šā lēmuma 3. pantu dalībvalstīm bija jānodrošina, ka FIU funkciju izpildi neietekmē to “iekšējais statuss, neatkarīgi no tā, vai tās ir administratīvas, tiesībaizsardzības vai tiesu iestādes”.

47.      FIU statuss dažādās dalībvalstīs ir atšķirīgs (35). FIU modelis nav saskaņots, un dalībvalstis joprojām ir “pilnībā atbildīgas par FIU izveidošanu un to organizatoriskās struktūras noteikšanu” (36).

48.      Tomēr Direktīva 2015/849 noteic vienu būtisku prasību, kas piemērojama neatkarīgi no katras dalībvalsts izvēlētā FIU statusa. Saskaņā ar Direktīvas 2015/849 32. panta 3. punktu FIU jābūt “funkcionāli neatkarīga[i] un autonoma[i]”, ņemot vērā, ka FIU vajadzētu būt “pilnvar[ām] un spēj[ām] veikt savas funkcijas brīvi, tostarp [tām būtu jāspēj] pieņemt patstāvīgus lēmumus analizēt, pieprasīt un izplatīt konkrētu informāciju”.

49.      Turklāt FIU atšķirīgajam juridiskajam statusam nevajadzētu kavēt to sadarbību (37) un efektīvu informācijas apmaiņu starp tiesībaizsardzības vai kriminālvajāšanas iestādēm un FIU (38).

50.      FIU pamatuzdevums (39), kas noteikts Direktīvas 2015/849 32. panta 1. punktā, ir “efektīvi novērst[..], atklāt[..] un apkarot[..] nelikumīgi iegūtu līdzekļu legalizēšanu un teroristu finansēšanu”. Tālab saskaņā ar Direktīvas 2015/849 32. panta 3. punktu FIU ir centrālā valsts vienība, kuras uzdevums ir saņemt (40) un analizēt ziņojumus par aizdomīgiem darījumiem un citu informāciju, kurai ir būtiska nozīme saistībā ar noziedzīgi iegūtu līdzekļu legalizēšanu, saistītiem predikatīviem nodarījumiem vai terorisma finansēšanu. Tā ir atbildīga arī par analīzes rezultātu un jebkādas būtiskas papildinformācijas nosūtīšanu kompetentajām iestādēm, ja ir pamats aizdomām par noziedzīgi iegūtu līdzekļu legalizēšanu, saistītiem predikatīviem nodarījumiem vai terorisma finansēšanu.

51.      No Direktīvas 2015/849 32. panta 4. punkta izriet, ka sava uzdevuma un funkciju izpildē FIU ir apveltītas ar plašām pilnvarām piekļūt tiesībaizsardzības informācijai, kas tām vajadzīgas uzdevumu pienācīgai izpildei (41).

52.      Saskaņā ar Direktīvas 2015/849 32. panta 7. punktu FIU ir arī tiesīgas “steidzami [rīkoties], ja ir aizdomas, ka darījums ir saistīts ar nelikumīgi iegūtu līdzekļu legalizēšanu vai teroristu finansēšanu, apturot vai atsaucot piekrišanu notiekošam darījumam, lai analizētu darījumu, apstiprinātu aizdomas un izplatītu analīzes rezultātus kompetentajām iestādēm”.

53.      FIU uzdevumi, funkcijas un pilnvaras uzskatāmi apliecina to nozīmi noziedzīgu nodarījumu atklāšanā un noziedzības novēršanā NILL/TFN jomā. FIU gan atbild par noziedzīgi iegūtu līdzekļu legalizēšanas un terorisma finansēšanas novēršanu un apkarošanu – un tas ir uzdevums tiesībaizsardzības jomā –, gan cieši sadarbojas ar kompetentajām tiesībaizsardzības iestādēm (42).

54.      FIU piemīt sui generis statuss. Lai arī tās darbojas “plašākā kārtībsargāšanas jomā”(43), tās ne vienmēr ir integrētas policijas struktūrā. Nenoliedzot FIU nozīmi Savienības finanšu tirgus pienācīgas darbības nodrošināšanā (kuras dēļ Direktīva 2015/849 ir pieņemta, pamatojoties uz LESD 114. pantu), jāuzsver, ka FIU īpašā loma finanšu informācijas apmaiņā ar tiesībaizsardzības iestādēm un Eiropolu ir noteikta uz LESD 87. panta 2. punktu balstītā policijas sadarbības instrumentā, proti, Direktīvā 2019/1153 (ar kuru tika aizstāts agrākais “trešā pīlāra” instruments, proti, Lēmums 2000/642).

55.      FIU pamatuzdevums, pamatfunkcijas un pamatpilnvaras norāda, ka FIU veiktajai datu apstrādei jābūt piemērojamam tam Savienības regulējumam, kurš visvairāk atbilst tiesībaizsardzības vajadzībām. To sīkāk iztirzāšu turpinājumā.

3.      FIU piemērojamais datu aizsardzības regulējums

56.      Visas valdības, kas rakstveida apsvērumos vai tiesas sēdē pauda nostāju par FIU piemērojamo Savienības datu aizsardzības regulējumu (44), uzskatīja, ka sava pamatuzdevuma izpildē FIU ir “kompetentās iestādes” Direktīvas 2016/680 izpratnē. Šajā ziņā šīs valdības būtībā izmanto funkcionālu pieeju šīs direktīvas interpretācijai, koncentrējoties uz FIU veiktajiem uzdevumiem un funkcijām.

57.      Piekrītu, ka personas datu apstrāde, ko FIU veic savu pamatpienākumu un pamatfunkciju izpildes gaitā, ietilpst Direktīvas 2016/680 piemērošanas jomā.

58.      Kā jau paskaidroju, FIU pamatuzdevums ir atklāt un novērst noziedzīgus nodarījumus NILL/TFN jomā. LESD 83. panta 1. punkts iekļauj terorismu un noziedzīgi iegūtu līdzekļu legalizēšanu tādu īpaši smagi noziegumu ar pārrobežu dimensiju vidū, attiecībā uz kuriem Savienības likumdevējs var paredzēt noteikumu minimumu par to, kādi nodarījumi kvalificējami par noziedzīgiem un kādi sodi noteicami par šiem nodarījumiem (45). Pildot šo uzdevumu, FIU piedalās attiecīgo noziedzīgo nodarījumu novēršanā un atklāšanā.

59.      Kā jau iepriekš norādīju, savu uzdevumu izpildē FIU uztur ciešas saiknes ar tiesībaizsardzības iestādēm un Eiropolu. Veikto analīžu rezultātus tās nodod tiesībaizsardzības iestādēm, atbild uz šo iestāžu informācijas pieprasījumiem un var arī pašas piekļūt tiesībaizsardzības informācijai, kas tām vajadzīga.

60.      FIU darbojas starp privātā sektora subjektiem, uz kuriem attiecas NILL ziņošanas prasības – proti, atbildīgajiem subjektiem – un tiesībaizsardzības iestādēm. Tomēr to loma neaprobežojas tikai ar informācijas saņemšanu un nosūtīšanu vien. FIU pievienotā vērtība slēpjas to veiktajā informācijas analīzē (46), kurai ir būtiska nozīme noziedzības novēršanas ķēdē. FIU – ņemot vērā to lomu šajā analīzē un to rīcībā esošajiem informācijas apmaiņas un saziņas kanāliem – juridiskajā literatūrā tiek trāpīgi raksturotas kā Savienības “finanšu izlūkošanas centri”(47), un tām kā tādām ir centrālā loma NILL/TFN struktūrā.

61.      NILL/TFN sistēmā tās atrodas krustcelēs (48) starp novēršanu, no vienas puses, un tiesībaizsardzības iestāžu veikto izmeklēšanu un kriminālvajāšanu, no otras puses. FIU pamatuzdevums – kā tiesas sēdē norādījusi Latvijas valdība – tiek veikts kriminālprocesa sākumposmā. Tāpat arī Luksemburgas valdība pamatoti norādījusi, ka FIU ir “pirmskriminālprocesuālā” funkcija, kas iekļaujas “funkcionālajā kontinuumā”, kas noved pie tiesībaizsardzības.

62.      Ņemot vērā FIU lomu noziedzīgu nodarījumu atklāšanā un novēršanā, dažas valdības, kas piedalījās rakstveida procesā un tiesas sēdē, saskatīja analoģiju ar Tiesas atziņām iepriekš minētajā spriedumā La Quadrature du Net u.c. (Personas dati un intelektuālā īpašuma tiesību pārkāpumu apkarošana) (49) attiecībā uz Francijas iestādi Hadopi. Minētajā lietā, kā jau iepriekš norādīju (50), Tiesa atzina, ka Hadopi, kas ir administratīvā iestāde, kuras kompetencē ir noteikt “pirmskriminālprocesuālus” pasākumus, ir kvalificējama kā “publiska iestāde” Direktīvas 2016/680 3. panta izpratnē, kas iesaistīta noziedzīgu nodarījumu, proti, rupjas neuzmanības formā esoša kriminālpārkāpuma vai noziedzīga nodarījuma intelektuālā īpašuma pārkāpumu jomā, novēršanā un atklāšanā un tādējādi saskaņā ar šīs direktīvas 1. pantu ietilpst tās piemērošanas jomā (51). Tā tas bija, neskatoties uz Tiesas konstatējumu, ka saskaņā ar piemērojamajām valsts tiesībām Hadopi nebija “pašai savu lēmumpieņemšanas pilnvaru” (52).

63.      Ja datu apstrāde, ko veic tāda administratīva iestāde kā Hadopi, ietilpst Direktīvas 2016/680 piemērošanas jomā, tas pats a fortiori būtu jāsecina par FIU, kas ir publiska iestāde, kuras kompetencē neatkarīgi no statusa, kāds tai paredzēts valsts tiesību aktos, ir pieņemt patstāvīgus lēmumus par finanšu izlūkošanas informācijas analīzi, pieprasīšanu un nosūtīšanu un kurai Savienības tiesību aktos ir piešķirtas būtiskas pilnvaras, kas nepieciešamas, lai atklātu un novērstu noziedzīgus nodarījumus NILL/TFN jomā.

64.      Lielākā daļa valdību, manuprāt, pamatoti ir uzsvērušas FIU uzdevumu līdzību ar uzdevumiem, ko veic pasažieru informācijas nodaļas (PIN) (53), kuras spriedumā Ligue des droits humains (54) Tiesa ir kvalificējusi kā “kompetentās iestādes”, kas ietilpst Direktīvas 2016/680 piemērošanas jomā. PIN par šādām iestādēm tika kvalificētas tāpēc, ka no PDR direktīvas 4. un 7. panta izriet to kompetence novērst, atklāt, izmeklēt teroristu nodarījumus un smagus noziegumus vai saukt pie atbildības par tiem. Šīs PIN vāc datus no aviopārvadātājiem, apstrādā šos datus un nosūta tos vai to apstrādes rezultātus kompetentajām iestādēm. Tās ir atbildīgas arī par PDR datu un šādas apstrādes rezultātu apmaiņu ar citu dalībvalstu PIN un Eiropolu. PIN nepārprotami ir piederīgas krimināltiesību jomai un ir iekļautas noziegumu novēršanas un atklāšanas ķēdē.

65.      FIU funkcija noziedzības novēršanas ķēdē ir līdzīga PIN funkcijai, jo FIU arī saņem informāciju, analizē to un nosūta to tiesībaizsardzības iestādēm.

66.      Tātad Tiesas judikatūra ļauj secināt, ka datu apstrāde, ko FIU veic ar nolūku novērst noziedzību NILL/TFN jomā, ietilpst Direktīvas 2016/680 piemērošanas jomā.

67.      FIU atbilst arī nosacījumiem, kam pakārtota iespēja tikt kvalificētām par “kompetento iestādi” Direktīvas 2016/680 3. panta 7. punkta a) apakšpunkta izpratnē. Kā norādīts iepriekš (55), šai definīcijai atbilst ne tikai “tradicionālās” tiesu vai tiesībaizsardzības iestādes, bet arī “jebkura publiska iestāde” (mans izcēlums), kurai ir kompetence tiesībaizsardzības jomā.

68.      FIU kvalificējamībai par “kompetento iestādi” Direktīvas 2016/680 3. panta 7. punkta izpratnē vajadzētu būt atkarīgai nevis no izvēlētās organizatoriskās struktūras (proti, vai tās ir tiesībaizsardzības, tiesu, administratīvās vai hibrīda iestādes), bet gan no tai uzticētajiem uzdevumiem un funkcijām un tās īstenotajām pilnvarām. Izšķirošas nozīmes nav arī apstāklim, ka FIU – kā tas ir, piemēram, RAB gadījumā – nav izmeklēšanas iestāde valsts kriminālprocesa likuma izpratnē (56).

69.      Pat ja pieņemtu, ka uz FIU – kā norāda Luksemburgas valdība – Direktīvas 2016/680 3. panta 7. punkta a) apakšpunkts neattiecas, būtu jāuzskata, ka uz to katrā ziņā attiecas šīs tiesību normas 7. punkta b) apakšpunkts, kur minēta “jebkura cita struktūra vai vienība”, kas veic uzdevumus tiesībaizsardzības jomā. Tā kā saskaņā ar minētās direktīvas 3. panta 7. punkta b) apakšpunktu par “kompetento iestādi” var tikt kvalificēta privāta struktūra, kam atbilstoši dalībvalsts tiesību aktiem ir uzticēts īstenot tiesībaizsardzības pilnvaras, tad šādi vēl jo vairāk vajadzētu būt tādas FIU gadījumā, kas ir publiska iestāde ar nozīmīgām pilnvarām NILL/TFN jomā.

70.      No tā izriet, ka FIU ir kvalificējama par “kompetento iestādi” Direktīvas 2016/680 3. panta 7. punkta izpratnē tad, kad tā pilda savus pamatpienākumus NILL/TFN jomā.

71.      Tas neliedz piemērot VDAR tad, kad FIU apstrādā datus saistībā ar citiem uzdevumiem, kas tām uzticēti dalībvalsts tiesībās un nav saistīti ar kādu no Direktīvas 2016/680 1. panta 1. punktā minētajām darbībām. No šīs direktīvas 9. panta 2. punkta izriet, ka apstrādei, kas veikta šādos citos nolūkos, ir piemērojama VDAR. Igaunijas valdība apgalvoja, ka RAB kompetencē ir veikt uzraudzību attiecībā uz nefinanšu sektoru un ka tā kontrolē arī noteiktu finansiālu sodu izpildi. Tāpēc tad, kad FIU apstrādā datus nolūkos, kas nav saistīti ar tās pamatuzdevumu NILL/TFN jomā, šāda apstrāde ietilpst VDAR piemērošanas jomā (57).

72.      Tomēr Komisija uzskata, ka FIU nav “kompetentās iestādes” Direktīvas 2016/680 izpratnē un ka tāpēc šo iestāžu veiktajai datu apstrādei ir piemērojama VDAR.

73.      Šajā ziņā tā uzskata, ka FIU darbība aprobežojas ar jebkuras to iegūtās informācijas “administratīvu priekšapstrādi”. Secinājumus par attiecīgo darbību noziedzīgumu var izdarīt tikai kompetentās iestādes, kurām FIU izplata informāciju.

74.      Ņemot vērā manis jau plaši izskaidrotos FIU uzdevumus, funkcijas un pilnvaras, šī pieeja, manuprāt, ir grūti savienojama ar FIU centrālo lomu noziedzības novēršanas ķēdē. FIU, kā norāda to nosaukums, ir patiesi izlūkošanas centri, kas spēj pieņemt patstāvīgus lēmumus saistībā ar informācijas analīzi. FIU tiesības piekļūt tiesībaizsardzības informācijai, kas tām vajadzīga savu uzdevumu pienācīgai izpildei (saskaņā ar Direktīvas 2015/849 32. panta 4. punktu), tiesības apmainīties ar informāciju gan savstarpēji, gan ar tiesībaizsardzības iestādēm un Eiropolu un tiesības apturēt vai atteikt piekrišanu darījumam skaidri norāda, ka to loma neaprobežojas tikai ar administratīvu priekšapstrādi vien.

75.      Apstāklis, ka FIU atrodas noziedzīgu nodarījumu atklāšanas un novēršanas ķēdes vidū un nosūta informāciju kompetentajām iestādēm, neliedz tās kvalificēt par “kompetentām iestādēm”. Proti, šāda kvalificējamība ir atkarīga nevis no iestādes konkrētās vietas tiesībsargājošo iestāžu sistēmā, bet gan no tās uzdevuma un funkcijām (58).

76.      Spēcīgākais Komisijas izvirzītais arguments ir par formulējumu, kādā izteikts Direktīvas 2015/849 41. panta 1. punkts, kas noteic, ka uz personas datu apstrādi, ko veic saskaņā ar šo direktīvu, attiecas VDAR. Komisija norāda, ka šī norma ir formulēta plaši tālab, lai aptvertu visas apstrādes darbības, ko veic saskaņā ar Direktīvu 2015/849, tostarp apstrādi, ko veic FIU.

77.      Tomēr, kā apgalvo gandrīz visas valdības, kas iesniegušas rakstveida apsvērumus un piedalījušās tiesas sēdē (59), Direktīvas 2015/849 41. panta 1. punkts ir interpretējams, neskarot Direktīvas 2016/680 piemērojamību.

78.      Savienības likumdevējs ir noteicis visaptverošu datu aizsardzības noteikumu kopumu, kas konsekventi jāpiemēro visās Savienības tiesību jomās. Gan VDAR, gan Direktīva 2016/680 ir piemērojama katra savā piemērošanas jomā. Citiem vārdiem, kā tiesas sēdē norādīja Spānijas valdība, Direktīvas 2015/849 41. panta 1. punkts nemaina nosacījumus VDAR un Direktīvas 2016/680 piemērojamībai.

79.      Apstiprinājums tam rodams Direktīvas 2015/849 42. apsvērumā, kurā teikts, ka šī direktīva neskar to personas datu aizsardzību, kuri tiek apstrādāti, īstenojot policijas un tiesu iestāžu sadarbību krimināllietās, tostarp Padomes Pamatlēmumu 2008/977/TI (60), kas bija Direktīvas 2016/680 priekštecis. Jāatgādina, ka šim ar Direktīvu 2016/680 atceltajam pamatlēmumam bija ierobežota piemērojamība tieslietu un policijas sadarbības jomā, jo tas attiecās tikai uz pārrobežu apstrādi.

80.      Kā tiesas sēdē apgalvoja Francijas valdība, no Direktīvas 2016/680 22. apsvēruma arī izriet, ka Savienības likumdevējs NILL/TFN jomā nav mēģinājis mainīt noteikumu, kā savstarpēji nošķiramas VDAR un Direktīvas 2016/680 piemērošanas jomas. Šis apsvērums attiecas uz virkni publisko iestāžu, kurām personas dati tiek izpausti saskaņā ar juridisku pienākumu, kas izriet no šo iestāžu oficiālā uzdevuma, un noteic, ka personas datu apstrādei, ko veic minētās publiskās iestādes, būtu jāatbilst piemērojamiem datu aizsardzības noteikumiem saskaņā ar apstrādes nolūkiem.

81.      Visbeidzot, nepieciešamību nodrošināt saskaņotību starp Direktīvu 2015/849 un spēkā esošo Savienības tiesisko regulējumu datu aizsardzības jomā apstiprina Direktīva 2024/1640 (Sestā NILLTFN direktīva), ar kuru atceļ Direktīvu 2015/849. Direktīvā 2024/1640 vairs nav nevienas normas, kurā būtu skaidri noteikts, kurš datu aizsardzības regulējums ir piemērojams. Lai gan 122. apsvērumā ir teikts, ka VDAR piemēro personas datu apstrādei, ko veic šīs direktīvas īstenošanas nolūkā, šajā pašā apsvērumā ir arī norādīts uz Direktīvas 2016/680 piemērošanu.

82.      Komisija pauda bažas par to, ka tad, ja FIU tiktu uzskatītas par “kompetentajām iestādēm”, iespējams, tiktu apdraudēta šo vienību neatkarība no tām kompetentajām iestādēm, kurām tās izplata informāciju.

83.      Man ir grūti saskatīt iemeslu šīm Komisijas bažām. FIU jāuzskata par “kompetentajām iestādēm” tālab, lai varētu noskaidrot piemērojamo Savienības datu aizsardzības regulējumu. Šāda noteikšana neietekmē FIU operacionālo neatkarību un autonomiju, kas jānodrošina neatkarīgi no to organizatoriskā statusa pat tad, ja FIU atrodas kādas citas iestādes esošajā struktūrā (61).

84.      Pēdējais arguments par labu Direktīvas 2016/680 piemērojamībai FIU, kad tās pilda uzdevumus un funkcijas NILL/TFN jomā, ir vajadzība saglabāt iespēju netieši īstenot datu subjektu piekļuves tiesības ar uzraudzības iestādes starpniecību saskaņā ar šīs direktīvas 17. pantu. Kā sīkāk paskaidrošu ceturtā prejudiciālā jautājuma analīzē, netieša kontrole ar uzraudzības iestādes starpniecību ir svarīga garantija, lai atsvērtu iespēju pilnībā ierobežot piekļuves tiesības saskaņā ar Direktīvas 2016/680 15. panta 1. punktu.

85.      Ņemot vērā visu iepriekš minēto, VDAR 2. panta 2. punkta d) apakšpunkts un Direktīvas 2016/680 2. panta 1. punkts, lasot to kopsakarā ar šīs direktīvas 1. panta 1. punktu, jāinterpretē tādējādi, ka personas datu apstrāde, ko veic tāda FIU kā RAB – pildot uzdevumu novērst, atklāt un apkarot noziedzīgi iegūtu līdzekļu legalizēšanu un terorisma finansēšanu, kā arī ņemot vērā tai šajā jomā esošās funkcijas un pilnvaras –, jāuzskata par apstrādi, ko veic kompetentā iestāde Direktīvas 2016/680 3. panta 7. punkta izpratnē, pat ja attiecīgā FIU nav izmeklēšanas iestāde valsts kriminālprocesa likuma izpratnē. Šādu datu apstrāde tādējādi ietilpst Direktīvas 2016/680 tvērumā.

86.      Ņemot vērā to, kā Tiesai ierosinu atbildēt uz pirmo jautājumu, pārējos jautājumus par datu subjekta piekļuves tiesību ierobežojumiem analizēšu, balstoties uz attiecīgajām Direktīvas 2016/680 normām un neaplūkojot VDAR.

B.      Ceturtais jautājums

87.      Ar ceturto jautājumu, kas jāizskata kā otrais, iesniedzējtiesa būtībā vaicā, vai Direktīvas 2016/680 15. pants jāinterpretē tādējādi, ka tam ir pretrunā tāda valsts tiesību norma, ar kuru datu subjekta tiesību piekļūt saviem FIU rīcībā esošajiem personas datiem īstenošana līdz šo datu iznīcināšanai ir pilnībā ierobežota, un tāpēc datu subjekts nekad nevar iegūt informāciju par šiem datiem.

88.      Direktīvas 2016/680 15. panta 1. punkts ļauj valsts likumdevējam – ņemot vērā saskaņā ar šo direktīvu veiktās datu apstrādes nolūku specifiku (kurai uzmanība it īpaši ir pievērsta tās 10. apsvērumā) – pieņemt leģislatīvus pasākumus, ar kuriem pakārtoti konkrētiem nosacījumiem tiek ierobežotas datu subjekta piekļuves tiesības. Piekļuves tiesības var tikt “pilnībā vai daļēji” ierobežotas, “ciktāl un tik ilgi, kamēr šāds daļējs vai pilnīgs ierobežojums ir nepieciešams un samērīgs pasākums demokrātiskā sabiedrībā, pienācīgi ņemot vērā attiecīgās fiziskās personas pamattiesības un leģitīmās intereses”, lai nodrošinātu vispārējo interešu mērķus, kas izsmeļoši uzskaitīti šīs tiesību normas a)–e) apakšpunktā. Viens no šiem mērķiem ir nepieciešamība “novērst[..], ka tiek traucētas oficiālas vai juridiskas pārbaudes, izmeklēšanas vai procedūras” un “novērst[..], ka tiek kaitēts noziedzīgu nodarījumu novēršanai, atklāšanai, izmeklēšanai vai saukšanai pie atbildības par tiem”.

89.      Saskaņā ar Direktīvas 2016/680 15. panta 2. punktu dalībvalstis ir tiesīgas pieņemt leģislatīvus pasākumus, lai noteiktu apstrādes kategorijas, uz kurām pilnībā vai daļēji var attiekties šie nolūki.

90.      Direktīvas 2015/849 41. panta 4. punktā dalībvalstīm ir paredzēts īpašs pienākums, “piemērojot 39. panta 1. punktā noteikto izpaušanas aizliegumu”, ierobežot datu subjektu piekļuves tiesības. Saskaņā ar pirmo minēto tiesību normu, piemērojot šo aizliegumu, dalībvalstīm jāpieņem leģislatīvi pasākumi, ar kuriem datu subjekta piekļuves tiesības tiek “pilnībā vai daļēji” ierobežotas, ievērojot minētajā tiesību normā paredzētos nosacījumus. Šie nosacījumi būtībā ir tādi paši kā Direktīvas 2016/680 15. panta 1. punktā noteiktie. Tie attiecas uz daļēja vai pilnīga ierobežojuma nepieciešamību un samērīgumu un vajadzību nodrošināt Direktīvas 2015/849 41. panta 4. punktā noteikto mērķu sasniegšanu (62).

91.      Direktīvas 2015/849 41. panta 4. punkta ievadteikumā minētais izpaušanas aizliegums attiecas uz atbildīgajiem subjektiem, kuriem ir aizliegts izpaust ziņas (jeb, izsakoties FATF 21. ieteikuma vārdiem – “brīdināt” ) par to, ka informācija par aizdomīgiem darījumiem tiek, tiks vai ir tikusi nosūtīta FIU saskaņā ar šīs direktīvas 33. pantu (63).

92.      Atsauce uz informācijas izpaušanas aizliegumu šķiet norādām, ka ierobežojumus datu subjektu piekļuves tiesībām Direktīvas 2015/849 41. panta 4. punkts īpaši reglamentē attiecībā uz atbildīgo subjektu rīcībā esošo informāciju un to, ka šī informācija tiek, tiks vai ir tikusi nosūtīta FIU (vai pašregulējuma struktūrai). Tomēr attiecībā uz tiesībām piekļūt FIU rīcībā esošajiem datiem būtu jāatgādina, ka šīs iestādes saņem informāciju ne tikai no atbildīgajiem subjektiem, bet arī no citiem avotiem (valsts un ārvalstu kompetentajām iestādēm, dažādu dalībvalstu FIU un Eiropola), ar kuriem tās arī veic informācijas apmaiņu. FIU arī veic finanšu izlūkošanu (64). Pēc Direktīvas 2016/680 pieņemšanas un ņemot vērā datu subjekta piekļuves pieprasījumu plašo formulējumu pamatlietā, šķiet piemērotāk izvērtēt piekļuves tiesību ierobežojumus, ņemot vērā šīs direktīvas 15. pantu. Šīs normas tvērums ir plašs, un tā var attiekties uz visiem FIU rīcībā esošajiem datiem un informāciju (65).

93.      No Direktīvas 2016/680 15. panta 1. punkta izriet, ka piekļuves tiesību ierobežojums, ko dalībvalstis ir tiesīgas noteikt, var būt “pilnīgs”. Tomēr šādam pilnīgam (vai daļējam) ierobežojumam jāatbilst samērīguma principam. Šī norma noteic, ka leģislatīvajam pasākumam, ar kuru datu subjekta tiesības tiek pilnībā vai daļēji ierobežotas, var tikt pieņemts, “ciktāl un tik ilgi, kamēr šāds daļējs vai pilnīgs ierobežojums ir nepieciešams un samērīgs pasākums demokrātiskā sabiedrībā, pienācīgi ņemot vērā attiecīgās fiziskās personas pamattiesības un leģitīmās intereses”. Tāpēc ikvienam ierobežojumam apjoma un ilguma ziņā jāaprobežojas ar to, kas ir nepieciešams un samērīgs (66).

94.      Šajā ziņā jāatgādina, ka tiesības piekļūt saviem personas datiem ir nostiprinātas Hartas 8. panta 2. punktā. Šīs tiesības nav absolūtas, bet gan ir skatāmas saistībā ar to funkciju sabiedrībā.

95.      Proti, Harta – kā izriet no tās 52. panta 1. punkta – pieļauj, ka šādām tiesībām var tikt noteikti izmantošanas ierobežojumi, ciktāl šie ierobežojumi ir paredzēti tiesību aktos, ar tiem tiek respektēta šo tiesību būtība un, ievērojot samērīguma principu, tie ir nepieciešami un patiešām atbilst vispārējo interešu mērķiem, ko atzinusi Savienība, vai vajadzībai aizsargāt citu personu tiesības un brīvības (67).

96.      Direktīvas 2015/849 kontekstā pilnīga informācijas konfidencialitāte ir obligāts priekšnosacījums ar šo direktīvu ieviestās NILL/TFN sistēmas efektivitātei (68). No minētās direktīvas 46. apsvēruma arī izriet, ka datu subjekta piekļuve jebkurai informācijai, kas saistīta ar ziņojumu par aizdomīgu darījumu, nopietni traucētu efektīvi īstenot cīņu pret noziedzīgi iegūtu līdzekļu legalizēšanu un terorisma finansēšanu. Informācija ir konfidenciāla, un tai tādai jāpaliek visos šīs sistēmas galveno dalībnieku posmos, proti, gan pie atbildīgajiem subjektiem, uz kuriem attiecas izpaušanas aizliegums, gan FIU, kas vāc un analizē konfidenciālu informāciju, gan tiesībaizsardzības iestādēs.

97.      Visas rakstveida apsvērumus iesniegušās valdības tiesas sēdē apgalvoja, ka konfidencialitātes prasība ir NILL/TFN sistēmas raksturiezīme un tai ir būtiska loma FIU sadarbībā. Šīs valdības uzsvēra FIU rīcībā esošās informācijas sensitivitāti, jo jau zināšanas par datu apstrādi vien varētu apdraudēt notiekošu analīzi un izmeklēšanu un ļaut aizdomās turētajiem slēpt līdzekļu izcelsmi.

98.      Tādēļ tiesību piekļūt FIU rīcībā saistībā ar šo vienību pamatuzdevuma izpildi esošajai informācijai pilnīga ierobežošana šķiet esam nepieciešama un piemērota, lai nodrošinātu NILL/TFN mērķu sasniegšanu.

99.      Tomēr jāatgādina pastāvīgās judikatūras atziņa, ka, lai pasākumi, no kuriem izriet iejaukšanās Hartas 8. pantā garantētajās tiesībās, būtu samērīgi, tajos jāievēro ne tikai piemērotības un nepieciešamības prasības, bet arī prasība par šo pasākumu samērīgumu ar sasniedzamo mērķi (69). Konkrētāk, atkāpes no personas datu aizsardzības un tās ierobežojumi būtu jāpiemēro tikai, ciktāl tas ir strikti nepieciešams (70).

100. Konkrētāk, Tiesas judikatūrā atzīts, ka ikvienā tiesiskajā regulējumā, kas rada iejaukšanos tiesībās uz personas datu aizsardzību, saskaņā ar samērīguma principu jābūt ietvertiem skaidriem un precīziem noteikumiem, kas reglamentē attiecīgā pasākuma tvērumu un piemērošanu un noteic minimālās prasības tādējādi, lai personām, kuru personas dati tiek apstrādāti, būtu pietiekamas garantijas, ka šie dati tiks efektīvi aizsargāti pret ļaunprātīgas izmantošanas risku, kā arī pret jebkādu nelikumīgu piekļuvi šiem datiem un nelikumīgu to izmantošanu (71). Šim tiesiskajam regulējumam jābūt juridiski saistošam valsts tiesībās, un tajā it īpaši jānorāda, kādos apstākļos un saskaņā ar kādiem nosacījumiem var īstenot pasākumu, kas ietver šādu datu apstrādi, tādējādi garantējot, ka šāda iejaukšanās notiek tikai strikti nepieciešamā robežās, lai neapdraudētu vispārējo interešu mērķi (72).

101. No šīs judikatūras izriet, ka tiesību piekļūt FIU rīcībā esošajai informācijai absolūts un beznosacījuma ierobežojums, kas attiecībā uz šo ierobežojumu nepieļauj ņemt vērā nekādus apstākļus, nosacījumus vai garantijas, ir nepamatota iejaukšanās tiesībās uz datu aizsardzību, kas nav saderīga ar Direktīvas 2016/680 15. panta 1. punktu. Bez tiesību aktos noteiktiem nosacījumiem vai kritērijiem nedz uzraudzības iestāde, nedz kompetentā tiesa, kas īsteno tiesu kontroli pār pārziņa lēmumu, nespēj pārbaudīt noteiktā ierobežojuma likumību.

102. Jāteic arī, ka saskaņā ar Direktīvas 2016/680 15. panta 4. punktu pārzinim jādokumentē faktiskie vai juridiskie iemesli, uz kuriem balstīts lēmums atteikt piekļuvi, kā arī šī informācija jādara pieejama uzraudzības iestādēm. Pārziņa pienākums dokumentēt atteikumu nodrošina pārziņa pārskatatbildību attiecībā pret uzraudzības iestādi un nodrošina efektīvu tiesu kontroli (73). Citiem vārdiem, pārziņa iespēja atteikt datu subjektam piekļuvi nenozīmē, ka šim pārzinim (šajā gadījumā FIU) būtu dota carte blanche.

103. No Hartas 52. panta 1. punkta izrietošās nepieciešamības un samērīguma prasības jāievēro arī tad, kad dalībvalstis saskaņā ar Direktīvas 2016/680 15. panta 2. punktu nosaka apstrādes kategorijas, attiecībā uz kurām saskaņā ar šīs direktīvas 15. panta 1. punktu ir piemērojami ierobežojumi.

104. Attiecībā uz pamatlietā aplūkoto valsts tiesisko regulējumu iesniedzējtiesa ir norādījusi, ka tas noteic absolūtu visu personu piekļuves tiesību ierobežojumu jebkādos apstākļos un līdz datu iznīcināšanai. Proti, nešķiet, ka RAB vadītāja rīkojums, kas ierobežo piekļuvi visiem RAB datubāzē esošajiem datiem, ietver kādus precīzus noteikumus par piekļuves ierobežojuma apjomu un piemērošanu, ne arī noteic kādas minimālās prasības, lai novērstu ļaunprātīgas izmantošanas risku un nodrošinātu, ka FIU piemēro attiecīgos ierobežojumus strikti nepieciešamā robežās. Kā rakstveida apsvērumos būtībā norādīja Komisija, tiesību ierobežojuma nepieciešamība un samērīgums jānodrošina, pamatojoties uz vispārējiem kritērijiem, kas ļauj izvērtēt katru individuālu piekļuves pieprasījumu.

105. Igaunijas valdība tiesas sēdē norādīja, ka valsts tiesiskajā regulējumā nav noteikts absolūts jeb kategorisks ierobežojums. Tā norādīja, ka RAB vadītājam ir novērtējuma brīvība izvērtēt katru piekļuves pieprasījumu un izlemt par to. Tā apstiprināja, ka šīs pilnvaras tiek īstenotas, piemēram, ja persona jau zina, ka notiek izmeklēšana, vai ja RAB nolemj iesaldēt šīs personas līdzekļus.

106. Iesniedzējtiesai, kuras kompetencē ir interpretēt savas valsts tiesības, jāpārbauda, vai valsts tiesiskajā regulējumā pastāv elementi, kas nodrošina, ka piekļuves tiesību ierobežojums gan ir piemērojams tikai, ciktāl tas ir strikti nepieciešams, lai neapdraudētu sabiedrības interešu mērķi, kuram ir paredzēts piekļuves ierobežojums, gan nav patvaļīgs.

107. Tomēr, kā Komisija pamatoti norādīja tiesas sēdē, pat ja tiktu uzskatīts, ka RAB vadītājam ir novērtējuma brīvība, elementiem vai kritērijiem, kas nosaka šādas novērtējuma brīvības robežas, jābūt noteiktiem attiecīgajā valsts pasākumā. Taču piemērojamā valsts tiesiskā regulējuma izklāstā šie elementi nav saskatāmi.

108. Tāpēc, lai arī valsts tiesībās var paredzēt pilnīgu ierobežojumu piekļuvei FIU rīcībā esošajiem datiem, tajās jāparedz skaidri un precīzi noteikumi, kas reglamentē attiecīgā leģislatīvā pasākuma tvērumu un piemērojamības nosacījumus un noteic minimālās prasības, lai personām, kuru personas dati tiek apstrādāti, būtu pietiekamas garantijas, ka šie dati tiks efektīvi aizsargāti pret ļaunprātīgas izmantošanas risku, kā arī pret FIU vai jebkuras citas kompetentās iestādes veiktu nelikumīgu piekļuvi šiem datiem vai šo datu izmantošanu NILL/TFN sistēmā (74).

109. Turklāt ikviens datu subjekta piekļuves pilnīgs ierobežojums jāatsver ar Direktīvas 2016/680 17. pantā paredzēto mehānismu. Šī tiesību norma noteic iespēju datu subjekta tiesības netieši īstenot uzraudzības iestādei. Šī netiešās īstenošanas iespēja ir izmantojama tostarp šīs direktīvas 15. panta 3. punktā minētajā situācijā, kurā pārzinim ir dota iespēja nesniegt datu subjektam informāciju par piekļuves atteikumu vai ierobežošanu un par šā atteikuma vai ierobežošanas iemesliem, ja šādas informācijas sniegšana apdraudētu kādu no minētās direktīvas 15. panta 1. punktā minētajiem vispārējo interešu nolūkiem. Saskaņā ar 17. panta 3. punktu, ja uzraudzības iestāde īsteno piekļuves tiesības datu subjekta vārdā, šai iestādei jāinformē datu subjekts vismaz par to, ka šī iestāde ir veikusi visas nepieciešamās pārbaudes vai pārskatīšanu.

110. Tiesas judikatūrā ir uzsvērts, cik svarīga ir datu subjekta tiesību netieša īstenošana tālab, lai nodrošinātu pienācīgu līdzsvaru starp vispārējām interesēm, kas pamato piekļuves tiesību ierobežošanu, un datu subjekta pamattiesībām uz datu aizsardzību un efektīvu pārbaudi tiesā saskaņā ar Hartas 47. pantu. Spriedumā Ligue des droits humains (Uzraudzības iestādes veikta datu apstrādes pārbaude) Tiesa ir nospriedusi: kā izriet no Direktīvas 2016/680 48. apsvēruma, netieša datu subjekta tiesību īstenošana ar kompetentās uzraudzības iestādes starpniecību jāuzskata par nepieciešamu šo tiesību aizsardzībai, ja šo tiesību tieša izmantošana attiecībās ar pārzini izrādās esam sarežģīta vai pat neiespējama (75).

111. Par uzraudzības iestādes konkrēto lomu šo tiesību netiešā īstenošanā Tiesa ir nospriedusi, ka šādai iestādei jāuzsāk konfidenciāls dialogs ar pārzini un šā dialoga iznākumā jāizlemj, kāda informācija ir vajadzīga, lai datu subjekts varētu īstenot savas tiesības uz efektīvu tiesību aizsardzību tiesā (76).

112. Turklāt no Tiesas judikatūras izriet, ka, veicot tiesas kontroli pār to, vai uzraudzības iestāde pareizi piemēro Direktīvas 2016/680 17. pantu, dalībvalstīm jāparedz noteikumi, kuri ļauj kompetentajai tiesai iepazīties gan ar visiem iemesliem, gan ar pierādījumiem, kas ar tiem saistīti un ar ko šī iestāde šajā ziņā ir pamatojusi attiecīgās datu apstrādes likumīguma pārbaudi, kā arī no tā izdarītos secinājumus (77). Informācija, ko pārzinis ir darījis pieejamu uzraudzības iestādei par iemesliem, ar kuriem tā ir pamatojusi savu lēmumu, jādara pieejama arī tiesai, kas izskata pret uzraudzības iestādi celto prasību (78).

113. Tiesas sēdē Igaunijas valdība apgalvoja, ka valsts uzraudzības iestādes kompetencē ir pārbaudīt RAB veiktās datu apstrādes likumīgumu. Iesniedzējtiesas ziņā ir pārbaudīt, vai valsts tiesības nodrošina pienācīgu Direktīvas 2016/680 17. panta piemērošanu.

114. Ņemot vērā visu iepriekš minēto, Direktīvas 2016/680 15. pants jāinterpretē tādējādi, ka tam ir pretrunā tāda valsts tiesību norma, ar kuru datu subjekta tiesību piekļūt saviem FIU rīcībā esošajiem personas datiem īstenošana līdz šo datu iznīcināšanai ir pilnībā ierobežota, un tāpēc datu subjekts nekad nevar iegūt informāciju par šiem datiem, ciktāl attiecīgajā valsts pasākumā, šķiet, nav paredzēti skaidri un precīzi noteikumi, kas reglamentētu konkrētā pasākuma tvērumu un piemērošanu un noteiktu minimālās prasības tādējādi, lai personām, kuru personas dati tiek apstrādāti, būtu pietiekamas garantijas, ka šie dati tiks efektīvi aizsargāti pret ļaunprātīgas izmantošanas risku, kā arī pret jebkādu attiecīgās FIU veiktu nelikumīgu piekļuvi šiem datiem un nelikumīgu to izmantošanu.

C.      Otrais jautājums

115. Pastāvīgās judikatūras atziņa ir tāda, ka ar LESD 267. pantu iedibinātajā valstu tiesu un Tiesas sadarbības procedūrā Tiesai jāsniedz valsts tiesai noderīga atbilde, kas ļautu izlemt tās izskatīšanā esošo strīdu. Tālab Tiesai vajadzības gadījumā būtu jāpārformulē tai uzdotie jautājumi (79).

116. Šajā lietā iesniedzējtiesa otrā jautājuma pirmajā daļā vaicā, vai Direktīvas 2016/680 15. panta 3. punkts ļauj FIU neizpaust datu subjektam tiesību aktu, uz kura pamata ir atteikts piešķirt piekļuvi datu subjekta personas datiem, lai izvairītos no viņa personas datu apstrādes fakta apstiprināšanas vai noliegšanas.

117. Rakstveida apsvērumos Komisija iebilda, ka otrais jautājums esot nepieņemams. Tā norādīja, ka RAB lēmumā par piekļuves atteikumu pamatlietā bija skaidra atsauce uz atteikuma juridisko pamatu, proti, RahaPTS 60. panta 1. punktu un AvTS 23. panta 1. punkta 1. apakšpunktu.

118. Tiesas sēdē Igaunijas valdība pauda uzskatu, ka šis jautājums ir pieņemams, savukārt Nīderlandes valdība norādīja uz to, ka pieņēmums – ka ierobežojuma pamatojuma izpaušana varētu atklāt personas datu apstrādes faktu – esot kļūdains. Katrā ziņā piekļuves tiesību ierobežojums ļauj liegt informāciju par to, vai dati tiek vai netiek apstrādāti.

119. Ņemot vērā lūgumā sniegt prejudiciālu nolēmumu ietvertos paskaidrojumus, kuros vispārīgi ir atsauce ne tikai uz ierobežojuma “juridisko pamatu”, bet arī uz datu subjektus skarošo lēmumu “faktiskiem un juridiskiem iemesliem”, otrā jautājuma pirmā daļa var tikt saprasta kā tāda, kurā vaicāts, vai FIU var atteikties paziņot atteikuma iemeslus.

120. Tātad atbilstoši šo secinājumu 115. punktā atgādinātajai judikatūrai būtu uzskatāms, ka ar otro jautājumu iesniedzējtiesa būtībā vaicā, vai Direktīvas 2016/680 15. panta 3. punkts jāinterpretē tādējādi, ka tas ļauj FIU atteikties norādīt atteikuma vai ierobežojuma iemeslus tālab, lai izvairītos no datu subjekta personas datu apstrādes apstiprināšanas vai noliegšanas, un vai šādā situācijā datu subjektiem var tikt atteikta informācija, vai tiem ir iespējams īstenot savas piekļuves tiesības ar uzraudzības iestādes starpniecību saskaņā ar Direktīvas 2016/680 17. panta 1. punktu.

121. Saskaņā ar Direktīvas 2016/680 15. panta 3. punktu, ja ir piemērojams datu subjekta piekļuves tiesību ierobežojums (80), pārzinis bez nepamatotas kavēšanās rakstiski informē datu subjektu par piekļuves atteikumu vai ierobežojumu, kā arī par šāda atteikuma vai ierobežojuma iemesliem. Šādu informāciju tomēr var nesniegt, ja tās sniegšana apdraudētu kādu no sabiedrības interesēm atbilstošajiem nolūkiem (kas noteikti minētās direktīvas 15. panta 1. punktā) (81).

122. No šīs tiesību normas izriet, ka, ievērojot tajā izklāstītos nosacījumus, FIU ir atļauts sniegt tādu atbildi, kas ir “nedz apstiprinoša, nedz noliedzoša”, nesniedzot informāciju par to, vai apstrāde ir veikta vispār.

123. Tomēr no Direktīvas 2016/680 15. panta 3. punkta izriet, ka šādā gadījumā pārzinim ir pienākums informēt datu subjektu par iespēju iesniegt sūdzību uzraudzības iestādē vai vērsties tiesā. Pārzinim saskaņā ar Direktīvas 2016/680 17. panta 2. punktu ir arī pienākums informēt datu subjektu par iespēju īstenot savas tiesības ar uzraudzības iestādes starpniecību, kā noteikts šā panta 1. punktā. Šādas informācijas sniegšanā netiek pieļauti nekādi izņēmumi.

124. Tas ir skaidrojams ar to, cik ļoti svarīgas ir tiesības uz netiešu piekļuvi ar uzraudzības iestādes starpniecību. Kā jau tikko norādīju ceturtā jautājuma analīzē (82), šo tiesību esība atsver pārziņa atteikumu sniegt jebkādu informāciju par datu apstrādi. Ja piekļuves tiesību tieša īstenošana ir sarežģīta vai neiespējama, datu subjekts vienmēr jāinformē par iespēju savas tiesības īstenot netieši. Turklāt FIU nav atbrīvota no pienākuma dokumentēt iemeslus, uz kuriem ir pamatots lēmums par piekļuves atteikumu un saskaņā ar šīs direktīvas 15. panta 4. punktu darīt šo informāciju pieejamu uzraudzības iestādēm (83).

125. Ņemot vērā iepriekš minēto, Direktīvas 2016/680 15. panta 3. punkts jāinterpretē tādējādi, ka tas ļauj FIU atteikties norādīt atteikuma vai ierobežojuma iemeslus tālab, lai izvairītos no datu subjekta personas datu apstrādes apstiprināšanas vai noliegšanas. Tomēr šādā situācijā datu subjekti vienmēr jāinformē par iespēju īstenot savas piekļuves tiesības ar uzraudzības iestādes starpniecību atbilstoši Direktīvas 2016/680 17. panta 1. punktam.

D.      Trešais jautājums

126. Ar trešo jautājumu iesniedzējtiesa būtībā vaicā, vai Direktīvas 2016/680 15. panta 1. punkts jāinterpretē tādējādi, ka tam ir pretrunā tāds valsts tiesiskais regulējums, kas FIU vadītājam ar vispārīgu normu piešķir pilnvaras ierobežot datu subjektu tiesības, ja, lai izprastu šā ierobežojuma nolūku, nosacījumus un apjomu, šī norma jāskata kopsakarā ar citām, tostarp zemāka juridiskā ranga tiesību normām.

127. No Direktīvas 2016/680 15. panta 1. punkta izriet, ka, lai ierobežotu datu subjektu piekļuves tiesības, dalībvalstīm jāpieņem leģislatīvs pasākums.

128. Šīs direktīvas 33. apsvērumā redzams, ka norāde uz leģislatīvu pasākumu nebūt nenozīmē, ka vajadzīgs parlamenta pieņemts likumdošanas akts. Tomēr šādam leģislatīvam pasākumam jābūt skaidram un precīzam un attiecīgajām personām jāspēj paredzēt tā piemērošanu, kā tas prasīts Tiesas un Eiropas Cilvēktiesību tiesas judikatūrā. Šajā apsvērumā arī precizēts, ka dalībvalstu tiesībās, ar ko regulē personas datu apstrādi, būtu jānosaka vismaz mērķi, apstrādājamie personas dati, apstrādes nolūki, personas datu integritātes un konfidencialitātes saglabāšanas procedūras un to iznīcināšanas procedūras, tādējādi nodrošinot pietiekamas garantijas pret ļaunprātīgas izmantošanas risku un patvaļu.

129. No Hartas 8. panta 2. punkta, kas pats tikai atspoguļo un konkretizē Hartas 52. pantā noteikto prasību, ka visiem Hartā atzīto pamattiesību izmantošanas ierobežojumiem citastarp jābūt noteiktiem tiesību aktos, Tiesa savā judikatūrā ir secinājusi, ka jebkurā juridiskajā pamatā – kas ļauj iejaukties tiesībās uz personas datu aizsardzību – pašā jābūt noteiktam, cik lielā mērā šis juridiskais pamats varētu iespējami izraisīt šo tiesību izmantošanas ierobežojumu (84).

130. Turklāt attiecībā uz Hartas 52. pantā noteikto prasību Tiesa ir nospriedusi, ka jebkāda iejaukšanās tiesībās uz personas datu aizsardzību ir veicama, ievērojot samērīguma principu, un tas nozīmē, ka ikvienā tiesiskajā regulējumā, kas rada šādu iejaukšanos, jābūt ietvertiem skaidriem un precīziem noteikumiem, kas reglamentē attiecīgā pasākuma tvērumu un piemērošanu un noteic minimālās prasības tādējādi, lai personām, kuru personas dati tiek apstrādāti, būtu pietiekamas garantijas, kas ļauj šos datus efektīvi aizsargāt pret ļaunprātīgas izmantošanas riskiem, kā arī pret jebkādu nelikumīgu piekļuvi šiem datiem un nelikumīgu to izmantošanu (85).

131. No Tiesas judikatūras – ar atsauci uz Eiropas Cilvēktiesību tiesas iedibināto judikatūru – izriet, ka Hartas 8. panta 2. punktā rodamā frāze “paredzēts tiesību aktos” jāsaprot tās saturiskajā, nevis formālajā izpratnē (86). Turklāt no Eiropas Cilvēktiesību tiesas judikatūras izriet, ka ECPAK 8. panta 2. punktā lietotajā frāzē “paredzēti likumā” izmantotais termins “likums” nozīmē ne tikai leģislatīvos aktus, bet arī zemāka juridiskā ranga tiesību normas (87). Ar to ir domāta tiesību normas spēkā esošā redakcija atbilstoši tam, kā to interpretējušas kompetentās tiesas (88).

132. Tāpēc Direktīvas 2016/680 15. panta 1. punktā noteiktā prasība, ka jebkuram ierobežojumam jābūt pamatotam ar leģislatīviem pasākumiem, būtu jāizprot plaši tādējādi, ka tā ir izpildīta ne tikai tad, ja pastāv viens vienīgs leģislatīvs akts, kas visos aspektos reglamentē piekļuves ierobežojumu kādai noteiktai datu kategorijai, piemēram, RAB rīcībā esošajiem datiem. Termins “leģislatīvi pasākumi” var ietvert leģislatīvu normu kopumu, kurā ietilpst arī zemāka juridiskā ranga tiesību normas, atbilstoši tam, kā tās interpretējušas kompetentās tiesas.

133. Tomēr tas tā ir tikai ar nosacījumu, ka attiecīgie leģislatīvie pasākumi ļauj skaidri un precīzi saprast tajos noteiktā ierobežojuma apjomu un piemērošanu un ka šo pasākumu piemērošana ir paredzama tiesību subjektiem. Saskaņā ar Direktīvu 2016/680 pieņemta pasākuma piemērošana tiesību subjektiem ir paredzama tad, ja tās spēj identificēt apstākļus un nosacījumus, kādos tām šajā direktīvā piešķirto tiesību apjoms var tikt ierobežots (89).

134. Pamatlietā normas, kurām ir nozīme piekļuves tiesību īstenošanā, ir ietvertas virknē leģislatīvu pasākumu. RahaPTS 60. panta 1. punkts ļauj RAB vadītājam ierobežot piekļuvi RAB datubāzē esošajiem datiem un kvalificēt tos kā informāciju, kas paredzēta iekšējai lietošanai. RAB 2022. gada 13. maija rīkojums noteic ierobežojumu piekļuvei RAB datubāzes datiem, norādot, ka šie dati ir paredzēti iekšējai lietošanai. AvTS 23. panta 1. punkta 1. apakšpunkts ļauj ierobežot piekļuvi datiem situācijā, kad pieprasījuma iesniedzējs nav tiesīgs šiem datiem piekļūt.

135. Šīs normas šķiet esam formulētas gaužām vispārīgi un neļauj datu subjektiem noskaidrot nedz to, ar kādiem nosacījumiem un kādos apstākļos ierobežojums ir atļauts, nedz aizsardzības pasākumus, kas nodrošina, ka apstrādātie dati tiks efektīvi aizsargāti pret ļaunprātīgas izmantošanas risku, kā arī pret nelikumīgu piekļuvi šiem datiem vai to izmantošanu (90).

136. RAB iekšējais regulējums patiešām ietver noteiktu informāciju, kas ir būtiska datu apstrādei, proti, tas noteic datu pārzini (RAB), datubāzē ievadīto datu veidu (91), datu drošības klasi (92) un datubāzē iekļauto ar personu saistīto datu glabāšanas ilgumu (93).

137. Tomēr šie elementi attiecas uz RAB veikto datu apstrādi vispārīgāk, nevis konkrēti uz piekļuves tiesību ierobežojuma nosacījumiem un apstākļiem, kā arī garantijām pret ļaunprātīgas izmantošanas risku.

138. Tiesas sēdē Igaunijas valdība paskaidroja, ka RAB vadītājam ir novērtējuma brīvība izlemt – dot vai nedot piekļuvi RAB datubāzē esošajiem datiem, un ka pastāv apstākļi, kādos šī piekļuve var tikt piešķirta. Tomēr, kā jau norādīju iepriekš (94), attiecīgais tiesiskais regulējums nešķiet kaut kā iegrožojam šo novērtējuma brīvību vai nosakām skaidrus un precīzus nosacījumus piekļuves tiesību ierobežošanai. Tas apstiprina secinājumu, ka attiecīgie valsts leģislatīvie pasākumi nešķiet atbilstam prasībām par skaidru un precīzu noteikumu, kura piemērošana ir paredzama datu subjektam, kurš vēlas īstenot piekļuves tiesības; tomēr šo aspektu izvērtēt ir valsts tiesas ziņā.

139. Ņemot vērā iepriekš minēto, Direktīvas 2016/680 15. panta 1. punkts jāinterpretē tādējādi, ka tāds valsts tiesiskais regulējums, kas FIU vadītājam ar vispārīgu normu piešķir pilnvaras ierobežot datu subjektu tiesības, šai Savienības tiesību normai nav pretrunā tāpēc vien, ka, lai izprastu šā ierobežojuma nolūku, nosacījumus un apjomu, šī vispārīgā norma jāskata kopsakarā ar citām, tostarp zemāka juridiskā ranga normām. Tomēr minētajai Savienības tiesību normai šāds valsts tiesiskais regulējums ir pretrunā, ja izrādās, ka šis regulējums nenoteic skaidrus un precīzus noteikumus, kas reglamentētu piekļuves tiesību ierobežojuma tvērumu un piemērošanas nosacījumus tādējādi, lai personām, kuru personas dati tiek apstrādāti, būtu pietiekamas garantijas, ka apstrādātie dati tiks efektīvi aizsargāti pret ļaunprātīgas izmantošanas risku, kā arī pret jebkādu nelikumīgu piekļuvi šiem datiem un nelikumīgu to izmantošanu.

IV.    Secinājumi

140. Ņemot vērā iepriekš izklāstītos apsvērumus, ierosinu Tiesai uz Riigikohus (Augstākā tiesa, Igaunija) prejudiciālajiem jautājumiem atbildēt šādi:

1)      Eiropas Parlamenta un Padomes Regulas (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) 2. panta 2. punkta d) apakšpunkts un Eiropas Parlamenta un Padomes Direktīvas (ES) 2016/680 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi, ko veic kompetentās iestādes, lai novērstu, izmeklētu, atklātu noziedzīgus nodarījumus vai sauktu pie atbildības par tiem vai izpildītu kriminālsodus, un par šādu datu brīvu apriti, ar ko atceļ Padomes Pamatlēmumu 2008/977/TI, 2. panta 1. punkts, lasot to kopsakarā ar šīs direktīvas 1. panta 1. punktu,

jāinterpretē tādējādi, ka personas datu apstrāde, ko veic tāda finanšu ziņu vākšanas vienība (FIU) kā RAB – pildot uzdevumu novērst, atklāt un apkarot noziedzīgi iegūtu līdzekļu legalizēšanu un terorisma finansēšanu, kā arī ņemot vērā tai šajā jomā esošās funkcijas un pilnvaras –, jāuzskata par apstrādi, ko veic kompetentā iestāde Direktīvas 2016/680 3. panta 7. punkta izpratnē, pat ja attiecīgā FIU nav izmeklēšanas iestāde valsts kriminālprocesa likuma izpratnē. Šādu datu apstrāde tādējādi ietilpst Direktīvas 2016/680 tvērumā.

2)      Direktīvas 2016/680 15. pants

jāinterpretē tādējādi, ka tam ir pretrunā tāda valsts tiesību norma, ar kuru datu subjekta tiesību piekļūt saviem FIU rīcībā esošajiem personas datiem īstenošana līdz šo datu iznīcināšanai ir pilnībā ierobežota, un tāpēc datu subjekts nekad nevar iegūt informāciju par šiem datiem, ciktāl attiecīgajā valsts pasākumā, šķiet, nav paredzēti skaidri un precīzi noteikumi, kas reglamentētu konkrētā pasākuma tvērumu un piemērošanu un noteiktu minimālās prasības tādējādi, lai personām, kuru personas dati tiek apstrādāti, būtu pietiekamas garantijas, ka šie dati tiks efektīvi aizsargāti pret ļaunprātīgas izmantošanas risku, kā arī pret jebkādu attiecīgās FIU veiktu nelikumīgu piekļuvi šiem datiem un nelikumīgu to izmantošanu.

3)      Direktīvas 2016/680 15. panta 3. punkts

jāinterpretē tādējādi, ka tas ļauj FIU atteikties norādīt atteikuma vai ierobežojuma iemeslus tālab, lai izvairītos no datu subjekta personas datu apstrādes apstiprināšanas vai noliegšanas. Tomēr šādā situācijā datu subjekti vienmēr jāinformē par iespēju īstenot savas piekļuves tiesības ar uzraudzības iestādes starpniecību atbilstoši Direktīvas 2016/680 17. panta 1. punktam.

4)      Direktīvas 2016/680 15. panta 1. punkts

jāinterpretē tādējādi, ka tāds valsts tiesiskais regulējums, kas FIU vadītājam ar vispārīgu normu piešķir pilnvaras ierobežot datu subjektu tiesības, šai Savienības tiesību normai nav pretrunā tāpēc vien, ka, lai izprastu šā ierobežojuma nolūku, nosacījumus un apjomu, šī vispārīgā norma jāskata kopsakarā ar citām, tostarp zemāka juridiskā ranga normām. Tomēr minētajai Savienības tiesību normai šāds valsts tiesiskais regulējums ir pretrunā, ja izrādās, ka šis regulējums nenoteic skaidrus un precīzus noteikumus, kas reglamentētu piekļuves tiesību ierobežojuma tvērumu un piemērošanas nosacījumus tādējādi, lai personām, kuru personas dati tiek apstrādāti, būtu pietiekamas garantijas, ka apstrādātie dati tiks efektīvi aizsargāti pret ļaunprātīgas izmantošanas risku, kā arī pret jebkādu nelikumīgu piekļuvi šiem datiem un nelikumīgu to izmantošanu.

1      Oriģinālvaloda – angļu.

2      FATF ir starpvaldību struktūra, kas noteic normas, kā arī izstrādā un īsteno stratēģiju noziedzīgi iegūtu līdzekļu legalizēšanas un terorisma finansēšanas novēršanas jomā.

3      Skat. 4. apsvērumu Eiropas Parlamenta un Padomes Regulā (ES) 2024/1624 (2024. gada 31. maijs) par to, lai nepieļautu finanšu sistēmas izmantošanu nelikumīgi iegūtu līdzekļu legalizēšanai un teroristu finansēšanai (OV L, 2024/1624); Mitsilegas, V. un Vavoula, N., “The evolving EU anti‑money laundering regime: Challenges for fundamental rights and the rule of law”, Maastricht Journal of European and Comparative Law,  23. sēj., 2. izd., 2016, 261.–293. lpp.

4      Skat. Egmont grupas finanšu ziņu vākšanas vienību vadītāju 2013. gada jūlijā apstiprinātās Finanšu izlūkošanas vienību Egmont grupas Hartas preambulu.

5      Šī norma noteic: “Finanšu izlūkošanas dienesta datubāzē esošajai informācijai piekļūt un to apstrādāt ir tiesīgi tikai Finanšu izlūkošanas dienesta amatpersona vai darbinieks. Pamatojoties uz šo likumu, Finanšu izlūkošanas dienesta vadītājs drīkst noteikt ierobežojumus piekļuvei informācijai, klasificējot attiecīgo informāciju kā tādu, kas paredzēta iekšējai lietošanai. [..].”

6      Šī norma noteic: “Informācijas turētājs atsakās izpildīt informācijas pieprasījumu, ja: 1) pieprasītajai informācijai tiek piemēroti piekļuves ierobežojumi, un informācijas pieprasījuma iesniedzējam nav tiesību piekļūt pieprasītajai informācijai.”

7      Eiropas Parlamenta un Padomes Direktīva (2015. gada 20. maijs) par to, lai nepieļautu finanšu sistēmas izmantošanu nelikumīgi iegūtu līdzekļu legalizēšanai vai teroristu finansēšanai, un ar ko groza Eiropas Parlamenta un Padomes Regulu (ES) Nr. 648/2012 un atceļ Eiropas Parlamenta un Padomes Direktīvu 2005/60/EK un Komisijas Direktīvu 2006/70/EK (OV 2015, L 141, 73. lpp.).

8      Eiropas Parlamenta un Padomes Regula (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) (OV 2016, L 119, 1. lpp.) (turpmāk – VDAR).

9      RT I, 18.12.2020., 38.

10      Eiropas Parlamenta un Padomes Direktīva (2018. gada 30. maijs), ar ko groza Direktīvu 2015/849 un Direktīvas 2009/138/EK un 2013/36/ES (OV 2018, L 156, 43. lpp.).

11      Eiropas Parlamenta un Padomes Direktīva (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi, ko veic kompetentās iestādes, lai novērstu, izmeklētu, atklātu noziedzīgus nodarījumus vai sauktu pie atbildības par tiem vai izpildītu kriminālsodus, un par šādu datu brīvu apriti, ar ko atceļ Padomes Pamatlēmumu 2008/977/TI (OV 2016, L 119, 89. lpp.).

12      Spriedums, 2024. gada 30. aprīlis (C‑470/21, EU:C:2024:370, 158. punkts).

13      VDAR 23. pantā ir ietverta horizontāla klauzula, savukārt saskaņā ar Direktīvu 2016/680 ikvienas tiesības var tikt ierobežotas individuāli. Konkrēti attiecībā uz datu subjekta piekļuves tiesībām Direktīvas 2016/680 15. pants dalībvalstīm skaidri atļauj pieņemt leģislatīvus pasākumus, ar ko “pilnībā vai daļēji” ierobežo šīs tiesības, un pieņemt leģislatīvus pasākumus, lai noteiktu “apstrādes kategorijas”, uz kurām “pilnībā vai daļēji” var attiekties dažādās ierobežojumu iemeslu kategorijas. Juridiskajā literatūrā ir pareizi norādīts, ka, pat ja datu subjektu tiesības, tostarp piekļuves tiesības, var tikt ierobežotas arī saskaņā ar VDAR, tomēr Direktīva 2016/680 paver plašākas iespējas noteikt ierobežojumus, radot lielāku varbūtību, ka persona, kas lūdz piekļuvi datiem tiesībaizsardzības iestādē, saņems atbildi, kas ir “nedz apstiprinoša, nedz noliedzoša”; skat. Mouzakiti, F., “Cooperation between financial intelligence units in the European Union: Stuck in the middle between the General Data Protection Regulation and the Police Data Protection Directive”, 2020, 11. sēj., 3. izd., New Journal of European Criminal Law, 351.–374. lpp., konkrēti 366. lpp.

14      Komisijas saskaņā ar VDAR 45. pantu pieņemtie lēmumi par aizsardzības līmeņa pietiekamību – kuros noteikts, vai trešā valsts nodrošina pietiekamu aizsardzības līmeni, – neattiecas uz datu apmaiņu saskaņā ar Direktīvu 2016/680, jo šai apmaiņai vajadzīgs atsevišķs lēmums par aizsardzības līmeņa pietiekamību saskaņā ar šīs direktīvas 36. pantu. Ja šāda lēmuma nav, nosūtīšana var notikt pakārtoti atbilstošām garantijām saskaņā ar Direktīvas 2016/680 37. pantu.

15      Eiropas Parlamenta un Padomes Regula (2018. gada 23. oktobris) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi Savienības iestādēs, struktūrās, birojos un aģentūrās un par šādu datu brīvu apriti un ar ko atceļ Regulu (EK) Nr. 45/2001 un Lēmumu Nr. 1247/2002/EK (OV 2018, L 295, 39. lpp.).

16      Skat. VDAR 10. apsvērumu.

17      Spriedums, 2022. gada 24. februāris, Valsts ieņēmumu dienests (Personas datu apstrāde nodokļu administrēšanas vajadzībām) (C‑175/20, EU:C:2022:124, 40. punkts).

18      Spriedums, 2022. gada 24. februāris, Valsts ieņēmumu dienests (Personas datu apstrāde nodokļu administrēšanas vajadzībām) (C‑175/20, EU:C:2022:124, 42. punkts un tajā minētā judikatūra).

19      Skat. Vogiatzoglou, P., “Scope” no Kosta, E. un Boehm, F. (red.), The EU Law Enforcement Directive (LED), Oxford University Press, Oksforda, 2024, 67.–77. lpp., konkrēti 74. lpp.

20      Spriedums, 2022. gada 24. februāris, Valsts ieņēmumu dienests (Personas datu apstrāde nodokļu administrēšanas vajadzībām) (C‑175/20, EU:C:2022:124, 43. punkts un tajā minētā judikatūra).

21      Skat. Direktīvas 2016/680 11. apsvērumu.

22      Spriedums, 2022. gada 24. februāris, Valsts ieņēmumu dienests (Personas datu apstrāde nodokļu administrēšanas vajadzībām)  (C‑175/20, EU:C:2022:124, 42. punkts un tajā minētā judikatūra).

23      Šajā nozīmē skat. spriedumu, 2022. gada 21. jūnijs, Ligue des droits humains (C‑817/19, EU:C:2022:491, 67. punkts). Skat. Brewczyńska, M., “A critical reflection on the material scope of the application of the Law Enforcement Directive and its boundaries with the General Data Protection Regulation” no Kosta, E. u.c. (red.) Research handbook on EU data protection law, Edward Elgar, Čeltnema [Cheltenham], 2022, 91.–114. lpp., konkrēti 104. lpp.

24      No VDAR 23. panta 1. punkta d) un h) apakšpunkta izriet, ka personas datu apstrāde, ko privātpersonas veic šīs regulas 2. panta 2. punkta d) apakšpunktā minētajos tiesībaizsardzības nolūkos, ietilpst šīs regulas piemērošanas jomā, skat. spriedumu, 2022. gada 21. jūnijs, Ligue des droits humains (C‑817/19, EU:C:2022:491, 68. punkts un tajā minētā judikatūra).

25      Kā redzams Direktīvas 2016/680 11. un 12. apsvērumā, personas datu apstrādei, ko “kompetentā iestāde” šīs direktīvas 3. panta 7. punkta izpratnē veic citos, nevis tiesībaizsardzības nolūkos, ir piemērojama VDAR; spriedums, 2022. gada 24. februāris, Valsts ieņēmumu dienests (Personas datu apstrāde nodokļu administrēšanas vajadzībām) (C‑175/20, EU:C:2022:124, 43. punkts un tajā minētā judikatūra).

26      Ceļu satiksmes drošības direkcija (Latvija).

27      Spriedums, 2021. gada 22. jūnijs, Latvijas Republikas Saeima (Pārkāpumu uzskaites punkti) (C‑439/19, EU:C:2021:504, 72. punkts).

28      Spriedums, 2022. gada 24. februāris, Valsts ieņēmumu dienests (Personas datu apstrāde nodokļu administrēšanas vajadzībām) (C‑175/20, EU:C:2022:124, 44. punkts).

29      Eiropas Parlamenta un Padomes Direktīva (2016. gada 27. aprīlis) par pasažieru datu reģistra (PDR) datu izmantošanu teroristu nodarījumu un smagu noziegumu novēršanai, atklāšanai, izmeklēšanai un saukšanai pie atbildības par tiem (OV 2016, L 119, 132. lpp.) (turpmāk – PDR direktīva).

30      Spriedums, 2022. gada 21. jūnijs, Ligue des droits humains (C‑817/19, EU:C:2022:491, 80. punkts).

31      Spriedums, 2024. gada 30. aprīlis, La Quadrature du Net u.c. (Personas dati un intelektuālā īpašuma tiesību pārkāpumu apkarošana) (C‑470/21, EU:C:2024:370, 158. un 159. punkts).

32      Pārskatam par FIU vēsturi NILL jomā skat. Eiropas Parlamenta Izpētes dienesta un Scherrer, A. Pētījumu Fighting tax‑crimes – Cooperation between Financial Intelligence Units, Ex‑post impact assessment – Study, 2017. gada marts, 8. lpp. (turpmāk – “2017. gada EP pētījums”); Mitsilegas, V., “New forms of transnational policing: The emergence of financial intelligence units in the European Union and the challenges for human rights: Part 1”, Journal of Money Laundering Control, 3. sēj., 2. izd., 1999, 147. lpp.  Finanšu izlūkošanas specializēto vienību sadarbība sāka veidoties 1995. gadā pirmās “Egmont grupas” tikšanās laikā. FATF 2003. gadā pieņēma pārskatītu 40 ieteikumu kopumu, kuros bija ietverts oficiāls ieteikums par FIU izveidi un darbību. FATF 2012. gada ieteikumos, kas atjaunināti 2026. gada jūnijā, ir ietverts ieteikums par FIU (29. ieteikums).

33      Padomes Lēmums (2000. gada 17. oktobris) par sadarbības pasākumiem starp dalībvalstu finanšu ziņu vākšanas vienībām attiecībā uz informācijas apmaiņu  (OV 2000, L 271, 4. lpp.).

34      Bijušais LESD 34. panta 2. punkta c) apakšpunkts.

35      Skat. Starptautiskā Valūtas fonda dokumentu Financial Intelligence Units: An Overview, 2004 (pieejams https://www.elibrary.imf.org/display/book/9781589063624/9781589063624.xml), 9. lpp. EP 2017. gada pētījuma 13. un 14. lpp. ir atsauce uz Savienības FIU platformas 2016. gada ziņojumu, kurā norādīti trīs FIU modeļi, proti, administratīvais, tiesībaizsardzības (jeb tiesu) un hibrīdais modelis. Šajā ziņojumā aplūkoto FIU modeļu sadalījums ir šāds: Divpadsmit Savienības FIU pēc savas iedabas ir administratīvas un atrodas, piemēram, finanšu, tieslietu vai iekšlietu ministrijās vai ietvertas Centrālajā bankā vai uzraudzības iestādē; tāda situācija ir Beļģijā, Bulgārijā, Čehijas Republikā, Spānijā, Francijā, Horvātijā, Itālijā, Latvijā, Maltā, Polijā, Rumānijā un Slovēnijā. Savukārt vienpadsmit Savienības FIU tiek organizētas atbilstoši tiesībaizsardzības modelim (policija un/vai tiesas); tāda situācija ir Austrijā, Igaunijā, Somijā, Vācijā, Īrijā, Lietuvā, Portugālē, Slovākijā, Zviedrijā, Luksemburgā un Apvienotajā Karalistē. Piecas FIU sevi raksturoja kā “hibrīdas”, jo tām piemīt gan tiesībaizsardzības iestāžu, gan administratīvo iestāžu iezīmes; tāda situācija ir Dānijā, Grieķijā, Kiprā, Ungārijā un Nīderlandē. Par FIU modeļa izvēles iemesliem skat. Masciandaro, D. un Volpicella, A., “Designing financial supervision: The puzzling case of the FIUs against money laundering”, Journal of Financial Regulation, 2. sēj., 1. izd., 2016, 79.‑113. lpp.

36      Skat. 14. apsvērumu Eiropas Parlamenta un Padomes Direktīvā (ES) 2019/1153 (2019. gada 20. jūnijs), ar ko paredz noteikumus, lai atvieglotu finanšu un citas informācijas izmantošanu noteiktu noziedzīgu nodarījumu novēršanai, atklāšanai, izmeklēšanai vai kriminālvajāšanai par tiem, un ar ko atceļ Padomes Lēmumu 2000/642/TI (OV 2019, L 186, 122. lpp.).

37      Skat. Direktīvas 2015/849 52. pantu, saskaņā ar kuru FIU pēc iespējas vairāk jāsadarbojas “neatkarīgi no to organizatoriskā statusa”.

38      Skat. Direktīvas 2019/1153 14. apsvērumu. Šīs direktīvas – kas pieņemta saskaņā ar LESD 87. panta 2. punktu par policijas sadarbību (un ar ko tika atcelts Lēmums 2000/642) – mērķis ir stiprināt finanšu informācijas apmaiņu ar norīkotajām kompetentajām iestādēm un uzlabot tiesisko noteiktību un darbības efektivitāti. Tās 1. panta 2. punkta a) apakšpunktā ir skaidri teikts, ka šī direktīva neskar Direktīvu 2015/849 un saistītos valsts tiesību aktu noteikumus, “tostarp organizatorisko statusu, kas valsts tiesību aktos piešķirts FIU, kā arī to funkcionālo neatkarību un autonomiju”.

39      Dalībvalstis var FIU uzticēt arī citus uzdevumus un funkcijas, ja vien tas netraucē FIU pamatuzdevuma izpildi. Igaunijas valdība apgalvoja, ka RAB pilda arī uzraudzības funkciju. Tomēr pamatlieta attiecas uz tiesībām piekļūt tiem datiem, kas ir FIU rīcībā saistībā ar tās pamatuzdevuma un pamatfunkciju izpildi.

40      Tie saņem informāciju no atbildīgajiem subjektiem, kuriem Direktīva 2015/849 ir piemērojama saskaņā ar tās 2. panta 1. punktu. Atbildīgajiem subjektiem ir pienākums informēt finanšu ziņu vākšanas vienības, tostarp iesniedzot ziņojumu par aizdomīgiem darījumiem saskaņā ar minētās direktīvas 33. pantu.

41      Tālab dalībvalstīm saskaņā ar Direktīvas 2019/1153 8. pantu jānodrošina, ka to izraudzītajām kompetentajām iestādēm ir pienākums savlaicīgi atbildēt uz valsts FIU veiktiem tiesībaizsardzības informācijas pieprasījumiem, katru gadījumu izskatot atsevišķi, ja informācija ir nepieciešama noziedzīgi iegūtu līdzekļu legalizācijas, saistīto predikatīvo nodarījumu un terorisma finansēšanas novēršanai, atklāšanai un apkarošanai.

42      Tomēr pat tad, ja FIU atrodas policijas vai tiesu iestāžu struktūrā, tām jābūt neatkarīgām un operacionāli nodalītām. Skat. 19. panta 4. punktu Eiropas Parlamenta un Padomes Direktīvā (ES) 2024/1640 (2024. gada 31. maijs) par mehānismiem, kas dalībvalstīm jāievieš, lai nepieļautu finanšu sistēmas izmantošanu nelikumīgi iegūtu līdzekļu legalizēšanai vai teroristu finansēšanai, un ar ko groza Direktīvu (ES) 2019/1937 un ar ko groza un [no 2027. gada 10. jūlija] atceļ Direktīvu 2015/849 (OV L, 2024/1640) (Sestā NILLTFN direktīva).

43      Mouzakiti, F., minēts iepriekš 13. zemsvītras piezīmē, 373. lpp., kurš tās raksturo kā “jaunās kārtībsargāšanas” institūcijas.

44      Nīderlandes Karaliste mutvārdu apsvērumos atturējās paust nostāju par to, kāds tiesiskais regulējums datu aizsardzības jomā ir piemērojams FIU.

45      Uz šā pamata Eiropas Parlamenta un Padomes Direktīvā (ES) 2018/1673 (2018. gada 23. oktobris) par nelikumīgi iegūtu līdzekļu legalizācijas apkarošanu ar krimināltiesībām (OV 2018, L 284, 22. lpp.) ir paredzētas prasības par kriminālatbildības noteikšanu par noziedzīgi iegūtu līdzekļu legalizēšanu.

46      Arī Eiropas Padomes Noziedzīgi iegūtu līdzekļu legalizācijas un terorisma finansēšanas novēršanas pasākumu novērtēšanas ekspertu komiteja (Moneyval) to uzsvērusi aprakstā par FIU funkcijām (apraksts pieejams: https://www.coe.int/en/web/moneyval/implementation/fiu.) Organizācijas “Transparency International” ieskatā, analizējot informāciju, FIU “savieno fragmentus, kurus neviena banka vai iestāde viena pati nespēj saskatīt” [Neoficiāls tulkojums] (skat. https://www.transparency.org/en/news/financial-intelligence-units-powerful-tools-against-corruption).

47      Mouzakiti, F., minēts iepriekš 13. zemsvītras piezīmē, 353. lpp.

48      Skat. Francijas Senāta dokumentu “Rapport fait au nom de la commission d’enquête aux fins d’évaluer les outils de la lutte contre la délinquance financière, la criminalité organisée et le contournement des sanctions internationales, en France et en Europe, et de proposer des mesures face aux nouveaux défis”, I sēj., 2005. gada 18. jūnijs, 197. lpp., kurā norādīts, ka Francijas FIU (Tracfin) atrodas uz robežas starp novēršanu un kriminālvajāšanu (“à la frontière entre les volets préventif et répressif”).

49      Spriedums, 2024. gada 30. aprīlis (C‑470/21, EU:C:2024:370).

50      Šo secinājumu 42. punkts.

51      Spriedums, 2024. gada 30. aprīlis, La Quadrature du Net u.c. (Personas dati un intelektuālā īpašuma tiesību pārkāpumu apkarošana) (C‑470/21, EU:C:2024:370, 158. punkts).

52      Turpat.

53      Skat. šo secinājumu 41. punktu.

54      Spriedums, 2022. gada 21. jūnijs (C‑817/19, EU:C:2022:491, 79. un 80. punkts).

55      Skat. šo secinājumu 36. punktu.

56      Skat. šo secinājumu 43. punktu.

57      Pilnības labad jānorāda, ka no Direktīvas 2016/680 14. apsvēruma izriet: šī direktīvas nav piemērojama datu apstrādei, ko veic ārpus Savienības tiesību jomas esošas darbības gaitā, konkrēti ar nacionālo drošību saistītā darbībā.

58      Apstiprinājums tam rodams spriedumā, 2022. gada 21. jūnijs, Ligue des droits humains (C‑817/19, EU:C:2022:491), kurā Tiesa nospriedusi, ka PIN ir kvalificējamas par “kompetentajām iestādēm” Direktīvas 2016/680 izpratnē. Šādi tās kvalificēt neliedza apstāklis, ka PDR datus vai apstrādes rezultātu PIN nosūta kompetentajām iestādēm.

59      Izņemot Nīderlandes valdību, kura šajā jautājumā nepauda nostāju.

60      Padomes Pamatlēmums (2008. gada 27. novembris) par tādu personas datu aizsardzību, ko apstrādā, policijas un tiesu iestādēm sadarbojoties krimināllietās (OV 2008, L 350, 60. lpp.).

61      Skat. Direktīvas 2024/1640 19. panta 4. punkta otro daļu.

62      Proti, lai ļautu atbildīgajam subjektam vai valsts kompetentajai iestādei pienācīgi pildīt savus uzdevumus un novērstu, ka tiek aizkavētas šīs direktīvas nolūkā veiktās oficiālās vai tiesiskās pārbaudes, izvērtējumi, izmeklēšanas vai procedūras, kā arī nodrošinātu, ka netiek apdraudēta noziedzīgi iegūtu līdzekļu legalizēšanas un terorisma finansēšanas novēršana, izmeklēšana un atklāšana. Tas, ka pastāv šāds nozarei specifisks ierobežojums datu subjekta piekļuves tiesībām saistībā ar izpaušanas aizliegumu, iespējams, var būt izskaidrojams ar to, ka Direktīva 2015/849 tika pieņemta, kamēr vēl nebija Savienības datu aizsardzības instrumenta tiesībaizsardzības jomā, proti, Direktīvas 2016/680. Direktīvā 2024/1640, ar kuru – kā (šo secinājumu 81. punktā) jau norādīju – ir atcelta Direktīva 2015/849, šādas normas par piekļuves tiesību ierobežošanu vairs nav.

63      Vai profesijas pašregulējuma struktūrai saskaņā ar Direktīvas 2015/849 34. pantā paredzētajiem nosacījumiem.

64      Skat. šo secinājumu 60. punktu.

65      Gadījumā, ja Tiesa uzskatītu, ka Direktīvas 2015/849 41. panta 4. punkts ir piemērojams visiem FIU rīcībā esošajiem datiem, mana analīze attiecībā uz ceturto jautājumu joprojām ir relevanta, ciktāl šī tiesību norma būtībā atspoguļo galvenos Direktīvas 2016/680 15. panta 1. punktā paredzētos piekļuves tiesību ierobežošanas nosacījumus.

66      Skat. Dimitrova, D., “Limitations to the right of access” no: Kosta, E. un Boehm, F. (red.), minēts iepriekš 19. zemsvītras piezīmē, 288. lpp.

67      Spriedums, 2020. gada 6. oktobris, Privacy International (C‑623/17, EU:C:2020:790, 64. punkts).

68      Skat. Direktīvas 2015/849 38. panta 2. punktu un 42. pantu, kā arī 61. panta 3. punkta trešo daļu.

69      Spriedums, 2022. gada 22. novembris, Luxembourg Business Registers (C‑37/20 un C‑601/20, EU:C:2022:912, 63. punkts).

70      Spriedums, 2022. gada 22. novembris, Luxembourg Business Registers (C‑37/20 un C‑601/20, EU:C:2022:912, 64. punkts).

71      Spriedums, 2026. gada 18. jūnijs, NTH Haustechnik (C‑484/24, EU:C:2026:496, 72. punkts un tajā minētā judikatūra).

72      Spriedums, 2020. gada 6. oktobris, Privacy International (C‑623/17, EU:C:2020:790, 68. punkts un tajā minētā judikatūra).

73      Skat. Dimitrova, D., minēts iepriekš 66. zemsvītras piezīmē, 292. lpp., kur norādīts, ka ar dokumentēšanas pienākumu ir gribēts nodrošināt, ka ierobežojumi netiek noteikti patvaļīgi.

74      Minētajām garantijām būtu jābūt neatkarīgi no aizsardzības pasākumiem, kas valsts krimināltiesībās paredzēti gadījumam, kad datu subjekts ir oficiāli apsūdzēts noziedzīgā nodarījumā.

75      Spriedums, 2023. gada 16. novembris (C‑333/22, EU:C:2023:874, 44. punkts).

76      Turpat, 66. punkts.

77      Turpat, 69. punkts un tajā minētā judikatūra.

78      Turpat, 70. punkts.

79      Spriedums, 2026. gada 16. jūlijs, AEDT un État du Grand‑Duché de Luxembourg (C‑158/25, EU:C:2026:591, 21. punkts).

80      Skat. šo secinājumu 88. un nākamos punktus.

81      Spriedums, 2023. gada 16. novembris, Ligue des droits humains (Uzraudzības iestādes veikta datu apstrādes pārbaude) (C‑333/22, EU:C:2023:874, 42. punkts).

82      Skat. šo secinājumu 109. punktu.

83      Skat. šo secinājumu 102. punktu.

84      Spriedums, 2026. gada 18. jūnijs, NTH Haustechnik (C‑484/24, EU:C:2026:496, 71. punkts un tajā minētā judikatūra).

85      Turpat, 72. punkts un tajā minētā judikatūra.

86      Turpat, 74. punkts un tajā minētā judikatūra.

87      ETC spriedums, 2025. gada 23. janvāris, H.W. pret Franciju, CE:ECHR:2025:0123JUD001380521, 65. punkts un tajā minētā judikatūra.

88      Šajā nozīmē skat. spriedumu, 2026. gada 18. jūnijs, NTH Haustechnik (C‑484/24, EU:C:2026:496, 75. punkts, kurā tālab citēts ETC spriedums, 2025. gada 23. janvāris, H.W. pret Franciju, CE:ECHR:2025:0123JUD001380521, 65. punkts un tajā minētā judikatūra.

89      Šajā nozīmē skat. spriedumu, 2022. gada 24. februāris, Valsts ieņēmumu dienests (Personas datu apstrāde nodokļu administrēšanas vajadzībām) (C‑175/20, EU:C:2022:124, 56. punkts).

90      Skat. šo secinājumu 100. un nākamos punktus.

91      RAB datubāzes nolikuma 8.–17. pants.

92      Apstrādāto datu drošības līmenis RAB datubāzes nolikuma 5. panta 2. punktā ir apzīmēts kā “augsts”.

93      RAB datubāzes nolikuma 26. panta 1. punkts noteic, ka datubāzē esošie dati un ietvertie dokumenti par personu tajā tiek glabāti 15 gadus pēc attiecīgā ziņojuma vai attiecīgās lietas slēgšanas. Datus par personu, personas saistību ar citiem datiem, kā arī dokumentus, kas attiecas uz personu, dzēš no datubāzes, lai nodrošinātu datu par personām, kā arī ziņojumu un lietu integritāti.

94      Skat. šo secinājumu 107. punktu.