Pagaidu versija
ĢENERĀLADVOKĀTA RIMVĪDA NORKUS [RIMVYDAS NORKUS]
SECINĀJUMI,
sniegti 2026. gada 16. aprīlī (1)
Lieta C‑205/25
Joachim Lindenberg
pret
Bayerisches Landesamt für Datenschutzaufsicht
(Bayerisches Verwaltungsgericht Ansbach (Bavārijas Administratīvā tiesa Ansbahā, Vācija) lūgums sniegt prejudiciālu nolēmumu)
Lūgums sniegt prejudiciālu nolēmumu – Fizisku personu aizsardzība attiecībā uz personas datu apstrādi – Regula (ES) 2016/679 – 15. pants – Datu subjekta pieprasījums piekļūt saviem personas datiem – 77. pants – Dati, kas ietverti uzraudzības iestādes, kura veic darbības saistībā ar sūdzības procedūru, lietas materiālos – 4. panta 7. punkts – Jēdziens “pārzinis” – 23. pants – Piekļuves tiesību ierobežojumi – Valsts tiesiskais regulējums, kas liedz jebkādu piekļuvi lietas materiāliem
I. Ievads
1. Šis lūgums sniegt prejudiciālu nolēmumu, ko Bayerisches Verwaltungsgericht Ansbach (Bavārijas Administratīvā tiesa Ansbahā, Vācija) ir iesniegusi atbilstoši LESD 267. pantam, attiecas uz Eiropas Parlamenta un Padomes Regulas (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) (2) (turpmāk tekstā – “VDAR”) 4. panta 7. un 21. punkta un 15., 23. un 77. panta interpretāciju.
2. Šis lūgums sniegt prejudiciālu nolēmumu ir iesniegts strīdā starp Joachim Lindenberg, žurnālistu, kas specializējies datu aizsardzības jomā, un Bayerisches Landesamt für Datenschutzaufsicht (Bavārijas datu aizsardzības uzraudzības iestāde, Vācija; turpmāk tekstā – “Landesamt”) par šīs iestādes atteikumu piešķirt viņam, pamatojoties uz VDAR 15. pantu, pilnīgu piekļuvi viņa lietas materiāliem procedūrā, kura sākta pēc viņa pret trešo personu iesniegtas sūdzības. Landesamt šo atteikumu pamatoja ar Bavārijas tiesību normu, kas liedz publisku piekļuvi uzraudzības iestāžu lietu materiāliem. Pēc J. Lindenberg iesniegtās sūdzības šī iestāde tomēr piešķīra elektronisku piekļuvi lietas materiāliem, taču neatzina, ka būtu pieļauta juridiska kļūda, savukārt prasītājs joprojām prasa, lai tiktu konstatēts sākotnējā atteikuma prettiesiskums. Uzskatot, ka strīda izšķiršanai ir nepieciešams interpretēt attiecīgās VDAR normas, kā arī pārbaudīt Bavārijas tiesiskā regulējuma atbilstību Savienības tiesībām, iesniedzējtiesa nolēma apturēt tiesvedību un uzdot Tiesai divus prejudiciālos jautājumus.
3. Tiesai ir jālemj par to, vai datu aizsardzības uzraudzības iestādi saskaņā ar VDAR 77. pantu iesniegtas sūdzības procedūrā var kvalificēt par “pārzini” VDAR 4. panta 7. punkta izpratnē un cik lielā mērā tai ir jāievēro VDAR 15. pantā paredzētās prasības attiecībā uz piekļuvi datiem. Tiesai it īpaši ir jāvērtē, vai Savienības tiesībām ir pretrunā valsts tiesiskais regulējums, kas datu subjektiem liedz jebkādas tiesības piekļūt lietas materiāliem. Šis vērtējums būs jāveic, ņemot vērā VDAR 23. pantu, kas atļauj noteiktu vispārējo interešu mērķu dēļ ierobežot šajā regulā paredzētās prasības attiecībā uz piekļuvi datiem, kā arī Eiropas Savienības Pamattiesību hartas (turpmāk tekstā – “Harta”) 8. panta 2. punktu, kas ikvienai personai garantē tiesības piekļūt datiem, kuri par to savākti. Šajā saistībā Tiesai būs jālīdzsvaro, no vienas puses, administratīvās darbības pārredzamības prasība un, no otras puses, nepieciešamība nodrošināt efektivitāti izmeklēšanai datu aizsardzības jomā.
II. Atbilstošās tiesību normas
A. Savienības tiesības
4. Šajā lietā atbilstīgās tiesību normas ir Hartas 8. un 52. pants, LESD 16. pants, kā arī VDAR 4. panta 1., 2., 7. un 9. punkts, ka arī 5., 15., 23., 51., 57., 58. un 77. pants.
B. Vācijas tiesības
5. Saskaņā ar Bayerisches Datenschutzgesetz (Bavārijas Datu aizsardzības likums; turpmāk tekstā – “BayDSG”) 18. pantu Landesamt ir uzraudzības iestāde nepubliskām struktūrām.
6. BayDSG 20. pantā ir paredzēts:
“(1) Jebkura persona var vērsties uzraudzības iestādēs, lai norādītu, ka, apstrādājot tās personas datus, ir pārkāptas tās tiesības. Vēršanās uzraudzības iestādēs nedrīkst kaitēt datu subjektam.
(2) Nav tiesību piekļūt uzraudzības iestāžu lietu materiāliem un datnēm un iepazīties ar tiem.”
7. Likuma pamatojuma izklāstā attiecībā uz BayDSG 20. panta 2. punktu ir norādīts, ka šī norma ir piemērojama saistībā ar jebkādām piekļuves tiesībām saskaņā ar VDAR 15. pantu un izslēdz šīs tiesības, ja uz tām atsaucas attiecībā uz Landesamt saistībā ar šīs iestādes lietu materiāliem un datnēm.
III. Pamatlietas strīda rašanās fakti, tiesvedība un prejudiciālie jautājumi
8. J. Lindenberg ir žurnālists un vada blogu, kas veltīts it īpaši datu aizsardzībai. Kopš 2021. gada viņš ir iesniedzis vairākas sūdzības Landesamt.
9. Kad J. Lindenberg 2022. gada 13. maijā iesniedza Landesamt sūdzību par datu aizsardzību, šī iestāde sāka pārbaudes procedūru pret trešo personu. 2022. gada 11. oktobra elektroniskā pasta vēstulē Landesamt informēja J. Lindenberg, ka tā bija konstatējusi datu aizsardzības pārkāpumus, kurus bija izdarījusi persona, uz ko attiecās sūdzība. Tā piebilda, ka pēc tam, kad beigsies termiņš, kas noteikts šo pārkāpumu novēršanai, persona, uz kuru attiecas sūdzība, tiks sodīta, ja izdarīs jaunus pārkāpumus. Tās pašas dienas elektroniskā pasta vēstulē J. Lindenberg lūdza tam sniegt papildu informāciju par Landesamt veiktajiem pasākumiem. Tā kā iestāde neatbildēja uz šo lūgumu, J. Lindenberg 2022. gada 11. oktobra elektroniskā pasta vēstulē lūdza sniegt pilnīgu informāciju saskaņā ar VDAR 15. panta 1. un 3. punktu.
10. Ar 2022. gada 20. oktobra elektroniskā pasta vēstuli un lēmumu Landesamt noraidīja piekļuves pieprasījumu, kurš bija iesniegts saskaņā ar VDAR 15. panta 1. un 3. punktu. Tā pamatoja šo noraidījumu, norādot, ka BayDSG 20. panta 2. punktā paredzētā skaidrā norma liedz tiesības piekļūt uzraudzības iestāžu lietu materiāliem un datnēm un iepazīties ar tiem.
11. J. Lindenberg par šo lēmumu iesniedza prasību Bayerisches Verwaltungsgericht Ansbach (Bavārijas Administratīvā tiesa Ansbahā), lūdzot noteikt Landesamt pienākumu sniegt tam kopiju visiem datiem no 2022. gada 13. maijā sāktās sūdzības procedūras lietas materiāliem.
12. 2024. gada 23. februārī Landesamt piešķīra elektronisku piekļuvi lietas materiāliem par pārbaudes procedūru, kas bija sākta pēc J. Lindenberg sūdzības, tomēr neatzīstot juridisku pienākumu šajā saistībā.
13. Tagad J. Lindberg lūdz tikai atzīt par prettiesisku Landesamt 2022. gada 20. oktobra lēmumu, ar kuru tika noraidīts viņa piekļuves pieprasījums.
14. Iesniedzējtiesa norāda, ka tad, ja sūdzības iesniedzējs, piemēram, J. Lindenberg, iesniedz datu aizsardzības uzraudzības iestādē, piemēram, Landesamt, sūdzību saskaņā ar VDAR 77. pantu, šī iestāde attiecībā pret šo personu darbojas kā uzraudzības iestāde VDAR 4. panta 21. punkta izpratnē. Daži, tostarp Landesamt, uzskata, ka tas izslēdz iespēju, ka datu aizsardzības uzraudzības iestāde attiecībā pret sūdzības iesniedzēju ir “pārzinis” VDAR 15. panta, to lasot kopā ar VDAR 4. panta 7. punktu, izpratnē, un ka tādējādi tas jau sākotnēji liedz sūdzības iesniedzējam attiecībā pret datu aizsardzības uzraudzības iestādi atsaukties uz tiesībām piekļūt personas datiem, kas izriet no sūdzības procedūras.
15. Iesniedzējtiesa savukārt vadās pēc principa, ka datu aizsardzības uzraudzības iestāde vienlaikus var būt gan uzraudzības iestāde VDAR 4. panta 21. punkta izpratnē, gan pārzinis, kā arī persona, pret kuru ir vērsta sūdzība VDAR 15. panta, to lasot kopā ar VDAR 4. panta 7. punktu, izpratnē.
16. Šī tiesa uzskata, ka, ja tas tā ir, rodas jautājums, vai tiesību piekļūt uzraudzības iestādes lietu materiāliem un datnēm pilnīga liegšana, kā paredzēts BayDSG 20. panta 2. punktā, atbilst nosacījumiem, kuri attiecas uz iespēju noteikt ierobežojumus atbilstoši VDAR 23. panta 1. punktam.
17. Šajos apstākļos Verwaltungsgericht Ansbach (Bavārijas Administratīvā tiesa Ansbahā) nolēma apturēt tiesvedību un uzdot Tiesai šādus prejudiciālus jautājumus:
“1) Vai [VDAR] 15. pants kopsakarā ar šīs regulas 4. panta 7. punktu ir jāinterpretē tādējādi, ka uzraudzības iestāde šīs regulas 4. panta 21. punkta izpratnē, kas veic darbības saistībā ar sūdzības procedūru, ko datu subjekts ierosinājis uz minētās regulas 77. panta pamata, vienlaikus ir “pārzinis” šīs regulas 15. panta – kopsakarā ar šīs regulas 4. panta 7. punktu – izpratnē, un līdz ar to tai ir [VDAR] 15. pantā paredzētais pienākums sniegt datu subjektam informāciju?
2) Ja atbilde uz pirmo jautājumu ir apstiprinoša: vai Savienības tiesību akti, it īpaši [VDAR] 23. pants, ir jāinterpretē tādējādi, ka tie nepieļauj tādu valsts tiesisko regulējumu kā [BayDSG] 20. panta 2. punkts, saskaņā ar kuru vispārīgi nepastāv tiesības piekļūt uzraudzības iestāžu – [VDAR] 4. panta 21. punkta izpratnē – dokumentiem un datnēm?”
IV. Tiesvedība Tiesā
18. Lēmums par prejudiciālo jautājumu uzdošanu, kas pieņemts 2025. gada 19. februārī, Tiesas kancelejā tika saņemts 2025. gada 17. martā.
19. Eiropas Savienības Tiesas statūtu 23. pantā noteiktajā termiņā rakstveida apsvērumus iesniedza Landesamt, Bulgārijas un Latvijas valdības, kā arī Eiropas Komisija.
20. 2026. gada 22. janvāra tiesas sēdē apsvērumus sniedza J. Lindenberg, Landesamt, Bulgārijas valdības un Komisijas juridiskie pārstāvji.
V. Juridiskā analīze
A. Ievada piezīmes
21. Šajā lietā ir jāatbild uz principiālu jautājumu par uzraudzības iestāžu juridisko statusu, ņemot vērā VDAR paredzētās tiesības, it īpaši tās 15. pantā garantētās piekļuves tiesības. Ir jānosaka, vai gadījumā, ja uzraudzības iestāde izskata sūdzību, kas iesniegta saskaņā ar VDAR 77. pantu, šī iestāde attiecībā uz šajā saistībā apstrādātajiem datiem ir kvalificējama par “pārzini” šīs pašas regulas 4. panta 7. punkta izpratnē. Šī kvalifikācija ir izšķiroša, jo tā nosaka pārzinim saistošo pienākumu attiecībā uz piekļuvi datiem piemērojamību, un plašākā nozīmē tā liek vērtēt līdzsvaru starp individuālo tiesību aizsardzību un uzraudzības uzdevumu izpildei raksturīgajām iezīmēm, kas balstās uz lēmumu pieņemšanas neatkarību, izmeklēšanas konfidencialitāti un izmeklēšanas pilnvaru efektivitāti.
22. Ja Tiesa atzītu, ka uzraudzības iestādei principā var būt pienākums ievērot VDAR 15. pantu, tas izraisītu nākamo – normatīva rakstura – jautājumu par to, vai vispārējs un absolūts aizliegums piekļūt administratīvu lietu materiāliem ir saderīgs ar Savienības tiesisko regulējumu. Šāds valsts tiesiskais regulējums ir jāvērtē, ņemot vērā VDAR 23. pantā paredzētās prasības, kas stingri reglamentē ierobežojumus, kādus var piemērot tajā garantētajām tiesībām; šiem ierobežojumiem ir jāatbilst kumulatīviem nosacījumiem attiecībā uz juridisko pamatu, nepieciešamību, samērīgumu un Savienības atzīto vispārējo interešu mērķu sasniegšanu. Šajā analīzē ir arī jāiekļauj no primārajām tiesībām izrietošās garantijas, it īpaši tās, kas attiecas uz pamattiesību ievērošanu un tiesību aizsardzības līdzekļu efektivitāti.
23. Tādējādi juridisko analīzi veikšu divos secīgos posmos. Pirmkārt, būs jānosaka, vai un kādā mērā uzraudzības iestādi sūdzības procedūrā var pielīdzināt “pārzinim”, un tas nozīmētu, ka tai ir jāievēro VDAR noteiktie pienākumi attiecībā uz piekļuvi (3). Otrkārt, – tikai apstiprinošas atbildes gadījumā – būs jāvērtē, vai vispārēja, nediferencēta un preventīva tiesību piekļūt uzraudzības iestādes lietu materiāliem liegšana ir saderīga ar VDAR saskaņoto regulējumu, ņemot vērā administratīvās pārredzamības, datu aizsardzības, institucionālās neatkarības un uzraudzības mehānismu efektivitātes prasības, kuras ir jālīdzsvaro tā, lai nezustu nevienas no šīm prasībām jēga (4).
B. Par pirmo jautājumu
1. Par uzraudzības iestādes kvalificēšanu par “pārzini” atbilstoši VDAR 4. panta 7. punktam
24. Attiecībā uz iespējamo uzraudzības iestādes kvalificēšanu par “pārzini”, kas ir pirmā prejudiciālā jautājuma priekšmets, iesākumā ir jāatgādina šā jēdziena legāldefinīcija, kura ir sniegta VDAR 4. panta 7. punktā. Saskaņā ar šo normu par “pārzini” ir uzskatāma jebkura “fiziska vai juridiska persona, publiska iestāde, aģentūra vai cita struktūra, kas viena pati vai kopīgi ar citām nosaka personas datu apstrādes nolūkus un līdzekļus”. Šajā saistībā ir jāatgādina, ka saskaņā ar Tiesas pastāvīgo judikatūru šo jēdzienu interpretē plaši (5).
25. Pirmkārt, ir jākonstatē, ka šajā legāldefinīcijā ir skaidri minētas “publiskas iestādes”. Tādējādi VDAR 4. panta 7. punkta pats formulējums nekādi neizslēdz iespēju uzraudzības iestādi kvalificēt par “pārzini”. Savienības likumdevējs apzināti ir atteicies no privāto un publisko struktūru nošķiršanas, kā liecina vairāki apsvērumi, kuros skaidri minēta personas datu apstrāde, ko veic publiskas iestādes. Turklāt apstākli, ka VDAR 4. panta 21. punktā uzraudzības iestāde ir definēta kā neatkarīga publiska iestāde, ko dalībvalsts izveidojusi, ievērojot 51. pantu, ņemot vērā plašo un funkcionālo tvērumu, kas regulā piešķirts jēdzienam “pārzinis” (6), nevar interpretēt kā tādu, kas liedz iespēju šo iestādi šādi kvalificēt.
26. Otrkārt, ir jānorāda – kad šāda uzraudzības iestāde veic uzdevumus, kas tai uzticēti saskaņā ar VDAR 77. pantu, it īpaši izskatot sūdzības par iespējamiem datu aizsardzības noteikumu pārkāpumiem, tai pašai ir jāapstrādā personas dati. Iestāde ne tikai saņem šos datus, bet arī tos strukturē, analizē, glabā un izmanto, patstāvīgi īstenojot regulā tai piešķirtās izmeklēšanas un sankciju piemērošanas pilnvaras. Man šķiet, ka šādas darbības ietilpst VDAR 4. panta 2. punkta piemērošanas jomā; šajā normā jēdziens “apstrāde” tiek saprasts plašā nozīmē, neatkarīgi no konkrēta konteksta, aptverot visas darbības, kas veiktas ar datiem.
27. Lai pamatotu šo analīzi, turpmākajos apsvērumos izklāstīšu, pirmām kārtām, VDAR 77. pantā paredzētās sūdzības procedūras galvenās iezīmes un, otrām kārtām, to personas datu kategorijas, kurus uzraudzības iestādes šajā saistībā regulāri un konkrēti apstrādā. Šis izklāsts ļaus labāk izprast, kāds ir to uzdevumu raksturs un apjoms, kurus uzraudzības iestādes veic šādā procedūrā.
a) VDAR 77. pantā paredzētās “sūdzības procedūras” galvenās iezīmes
28. Ar VDAR 77. pantu izveidotā sūdzības procedūra (7) ir centrālais mehānisms Savienības sistēmā, kas paredzēta, lai nodrošinātu fizisku personu aizsardzību attiecībā uz viņu personas datu apstrādi. Tā ir daļa no veida, kā tiek īstenots Hartas 8. panta 3. punktā noteiktais princips, saskaņā ar kuru datu aizsardzības noteikumu ievērošanu kontrolē neatkarīga iestāde. Tiesa ir atkārtoti uzsvērusi, ka šis kontroles mehānisms nav tikai formāls, bet tā mērķis ir nodrošināt pamattiesību efektīvu un reālu aizsardzību (8).
29. Ar VDAR 77. panta 1. punktu ikvienam datu subjektam ir piešķirtas tiesības bez īpašām formālām prasībām un bez izmaksu riska iesniegt sūdzību it īpaši uzraudzības iestādē tajā dalībvalstī, kurā ir viņa pastāvīgā dzīvesvieta, darba vieta vai iespējamā pārkāpuma izdarīšanas vieta. Tā kā šīs tiesības ir būtiska daļa no regulā paredzētās aizsardzības sistēmas, tās nedrīkst interpretēt vai piemērot tādā veidā, kas to izmantošanu padarītu praktiski neiespējamu vai pārmērīgi apgrūtinātu (9).
30. Ir jāuzsver, ka sūdzības iesniegšana nesniedz uzraudzības iestādei tikai vispārēju iespēju veikt pārbaudi, bet gan tai nosaka konkrētu pienākumu izskatīt lietu pilnīgi, rūpīgi un objektīvi. No Tiesas pastāvīgās judikatūras izriet, ka saskaņā ar VDAR 57. panta 1. punkta f) apakšpunktu katrai uzraudzības iestādei ir pienākums izskatīt sūdzības, kas iesniegtas tās teritorijā, pēc nepieciešamības izvērtēt to būtību un izskatīt tās ar nepieciešamo rūpību (10).
31. No tā izriet, ka uzraudzības iestāde nevar neizskatīt sūdzību, pamatojoties tikai ar administratīviem vai ar lietderību saistītiem apsvērumiem. Tāpat tai ir aizliegts samazināt savu iejaukšanos līdz neformālai starpniecībai vai tikai palīdzības sniegšanai. Gluži pretēji, tai ir pienākums izskatīt iespējamo faktisko un juridisko pārkāpumu un, ja nepieciešams, efektīvi īstenot korektīvās pilnvaras, kas tai piešķirtas saskaņā ar Savienības tiesībām (11).
32. Saskaņā ar judikatūru VDAR 58. pantā uzskaitītās pilnvaras ir jāinterpretē, ņemot vērā to mērķi, proti, nodrošināt šīs regulas pilnīgu efektivitāti. Tiesa ir uzsvērusi, ka uzraudzības iestādēm pārkāpuma konstatēšanas gadījumā ir pienākums veikt “atbilstošus un nepieciešamus” korektīvos pasākumus un izmantot visus to rīcībā esošos instrumentus. Šī prasība ietver arī represīvus pasākumus, jo bezdarbība var apdraudēt minētās regulas lietderīgo iedarbību (12).
33. VDAR 77. panta 2. punktā turklāt ir noteikts pienākums informēt sūdzības iesniedzēju par procedūras virzību un iznākumu. Šis pienākums ir izpildīts tikai tad, ja sniegtā atbilde ļauj konstatēt, ka sūdzība tiešām ir faktiski un juridiski izskatīta un ka tajā ir iekļauti elementi, kas nepieciešami, lai veiktu efektīvu pārbaudi tiesā. Tādējādi procedūra nevar aprobežoties ar formālu lēmumu, bet tās rezultātā ir jātiek sniegtam detalizētam, pienācīgi pamatotam vērtējumam, ko var pārbaudīt tiesa, kurā var vērsties saskaņā ar VDAR 78. panta 1. punktu. Jebkurš lēmums, ko par sūdzību pieņem uzraudzības iestāde, ir pakļauts pilnīgai pārbaudei tiesā (13).
34. Aplūkota kopumā, VDAR 77. pantā paredzētā procedūra nav tikai administratīvs akts, bet gan autonoms tiesību aizsardzības līdzeklis, kas izveidots ar Savienības tiesību aktiem un kas vienlaikus veicina gan indivīdu tiesību aizsardzību, gan objektīvu tiesiskās kārtības saglabāšanu datu aizsardzības jomā. Tiesa uzraudzības iestādēm atzīst pamattiesību strukturālas aizsardzības sistēmas institucionālu nodrošinātāju statusu; to uzdevums nav tikai pasīva sūdzību pieņemšana, bet gan tas ietver arī datu aizsardzības noteikumu aktīvu piemērošanu.
b) Personas datu “apstrāde”, ko veic uzraudzības iestāde sūdzības procedūrā
35. Kad atgādinātas sūdzības procedūras galvenās iezīmes, ir jāanalizē, cik lielā mērā uzraudzības iestādes darbība ir uzskatāma par “apstrādi” VDAR 4. panta 2. punkta izpratnē. Šīs jēdziens ir definēts kā “jebkura ar personas datiem vai personas datu kopumiem veikta darbība vai darbību kopums, ko veic ar vai bez automatizētiem līdzekļiem, piemēram, vākšana, reģistrācija, organizēšana, strukturēšana, glabāšana, pielāgošana vai pārveidošana, atgūšana, aplūkošana, izmantošana, izpaušana, nosūtot, izplatot vai citādi darot tos pieejamus, saskaņošana vai kombinēšana, ierobežošana, dzēšana vai iznīcināšana”.
36. Šajā saistībā ir jāuzsver, ka saskaņā ar procedūru, kas pamatota ar VDAR 77. pantu, uzraudzības iestāde veic ne tikai datu saņemšanu. Gluži pretēji, tā veic virkni neatkarīgu un strukturētu darbību, kas īstenotas, lai pildītu tai likumā noteikto pārbaudes, izmeklēšanas un uzraudzības uzdevumu. Apstrāde sākas jau no brīža, kad tiek iesniegta sūdzība, kurā ir ietverti dati par sūdzības iesniedzēju un, atkarībā no gadījuma, par attiecīgo pārzini vai identificējamām trešām personām. Šī informācija, kas atbilst jēdzienam “personas dati” VDAR 4. panta 1. punkta izpratnē, tiek reģistrēta, iekļauta lietas materiālos un glabāta uzraudzības iestādes iekšējās sistēmās, un tās jau ir materiālas un organizatoriskas darbības, kuras veido “apstrādi” (14).
37. Šīs darbības ietilpst uzdevumos, kas uzraudzības iestādēm uzticēti ar VDAR 57. panta 1. punktu, kā izklāstīts šajos secinājumos. Starp šiem uzdevumiem ir it īpaši sūdzību izskatīšana [f) apakšpunkts], kā arī izmeklēšanas un lēmumu pieņemšanas pilnvaru īstenošana [h) apakšpunkts]. Veicot šos uzdevumus, iestādes rīkojas saskaņā ar funkcionālu un lēmumu pieņemšanas autonomiju, ko garantē Savienības tiesības, un šī autonomija konkrēti izpaužas veidā, kādā tiek izskatītas sūdzības un īstenotas izrietošās uzraudzības pilnvaras.
38. Procedūras laikā uzraudzības iestāde veic tajā iesniegto elementu faktisku un juridisku pārbaudi. Tā vāc, organizē, analizē un vērtē datus, ņemot vērā piemērojamo normatīvo regulējumu. Citas apstrādes darbības notiek arī tad, kad iestāde pieprasa papildu informāciju no pārziņa – pret kuru ir vērsta sūdzība un uz kuru attiecas izmeklēšana –, vai kad tā iepazīstas ar papildu dokumentiem, kuros pašos var būt personas dati. Pēc tam uzraudzības iestāde saņem, reģistrē, analizē un glabā šo informāciju. Tāpat arī šo elementu sasaistīšana ar iespējamām jau esošām lietām vai informāciju var būt uzskatāma par “apstrādes” darbību.
39. Šādi apstrādātie dati tiek izmantoti, lai uzraudzības iestāde varētu patstāvīgi īstenot izmeklēšanas un lēmumu pieņemšanas pilnvaras (15). Tie tiek izmantoti, lai konstatētu faktus, noteiktu to juridisko kvalifikāciju, novērtētu iespējamos korektīvos pasākumus un attiecīgā gadījumā pieņemtu saistošus lēmumus vai rīkojumus. Dati tiek izmantoti arī procedūras paziņojumos, kas adresēti pusēm, it īpaši informējot sūdzības iesniedzēju vai pārzini par procedūras iznākumu.
40. No visiem šiem apstākļiem izriet, ka uzraudzības iestādi nevar uzskatīt tikai par datu “saņēmēju” VDAR 4. panta 9. punkta izpratnē. Ņemot vērā, ka šī iestāde patstāvīgi lemj par šo datu vākšanas, analīzes, organizēšanas un izmantošanas kārtību, lai veiktu tai likumā uzticētos uzdevumus, tā darbojas kā operators, kas veic “apstrādi” VDAR 4. panta 2. punkta pilnā izpratnē. Šis aspekts ir sīkāk izskatīts nākamajā sadaļā.
2. Par uzraudzības iestādes iespēju “noteikt apstrādes nolūkus un līdzekļus”
41. Lai uzraudzības iestādi varētu kvalificēt par “pārzini” VDAR 4. panta 7. punkta izpratnē, tai ir jābūt arī pilnvarām noteikt personas datu apstrādes nolūkus un līdzekļus.
42. Kā iepriekš norādīts, uzraudzības iestādes loma sūdzības procedūrā, kas pamatota ar VDAR 77. pantu, neaprobežojas tikai ar informācijas pasīvu saņemšanu. Tā faktiski nosaka apstrādes nolūku, jo tā nolemj, ka dati tiks izmantoti, lai vērtētu iespējamu datu aizsardzības noteikumu pārkāpumu, konstatētu faktus un vajadzības gadījumā sagatavotu un veiktu uzraudzības pasākumus. Šī nolūka noteikšana ir ne tikai iepriekš paredzēta tiesību aktos, bet arī prasa, lai iestāde katrā gadījumā atsevišķi neatkarīgā veidā konkrēti lemtu par kontroles apjomu, izmeklēšanas konkrēto priekšmetu un izvirzīto iebildumu juridisko kvalifikāciju (16).
43. Uzraudzības iestāde arī patstāvīgi lemj par būtiskiem jautājumiem saistībā ar apstrādes līdzekļiem. Tā nosaka, kādi personas dati tiek vākti, kādā veidā tie tiek reģistrēti, strukturēti un glabāti, saskaņā ar kādiem kritērijiem tiek veidoti lietas materiāli, organizēti digitālie arhīvi vai uzskaitīti pierādījumi, kā arī lemj par tehniskām vai organizatoriskām procedūrām, kas tiek izmantotas datu analīzei, turpmākai apstrādei vai iekšējai pieejamībai. Tāpat tā lemj, vai ir lietderīgi nosūtīt informācijas pieprasījumus personai, uz kuru attiecas sūdzība, kāda papildu informācija ir jāpieprasa, ar kādām metodēm informācija tiks sasaistīta un cik ilgi to glabās. Šīs atlases un organizēšanas pilnvaras acīmredzami pārsniedz tikai palīguzdevumu vai pakārtotu uzdevumu izpildi.
44. Faktiski veiktās apstrādes darbības apstiprina šo lēmumu pieņemšanas autonomiju. Iestāde reģistrē sūdzības, uzsāk lietas, glabā un organizē saņemtos, kā arī vāktos datus, veic datu faktisko un juridisko vērtējumu, pieprasa papildu dokumentus, fiksē izmeklēšanas darbības un, pamatojoties uz savu analīzi, pieņem procesuālus un materiālus lēmumus. Tādējādi apstrāde kalpo ne tikai administratīvās lietas tehniskai pārvaldībai, bet ir arī pamats patstāvīgai izmeklēšanas, novērtēšanas un lēmumu pieņemšanas darbībai, ko Savienības tiesības uztic ekskluzīvi uzraudzības iestādei.
45. Apstāklis, ka šī darbība ir daļa no likumā noteikta uzdevuma izpildes, neatceļ “pārziņa” statusu. Tiesa vairākkārt ir atgādinājusi, ka valsts iestādi var kvalificēt par “pārzini”, ja tai ir rīcības brīvība lēmumu pieņemšanā par konkrēto apstrādes kārtību (17). Šajā saistībā ir jānorāda, ka Landesamt pati tiesas sēdē atzina, ka tai ir rīcības brīvība savu uzdevumu noteikšanā, tostarp sūdzību izskatīšanā (18), un šī rīcības brīvība ir tās autonomijas izpausme.
46. Tāpat ir jānoraida “apstrādātāja” kvalifikācija, jo nepastāv nekādas pakļautības attiecībā uz mērķu un līdzekļu noteikšanu un iestāde rīkojas nevis pēc trešās personas norādījumiem, bet gan īstenojot pati savas prerogatīvas. It īpaši uzraudzības iestāde nekādā ziņā nerīkojas sūdzībā minētā pārziņa vārdā, bet gan īsteno publiskas pilnvaras, kas tai piešķirtas, lai nodrošinātu Savienības tiesību ievērošanu.
47. Lai gan aplūkojamā apstrāde parasti ir pamatota ar VDAR 6. panta 1. punkta e) apakšpunktu, to lasot kopsakarā ar šīs regulas 57. panta 1. punkta f) un h) apakšpunktu, juridiskā pamata esamība nodrošina tikai apstrādes likumību, bet neizslēdz apstrādes “pārziņa” statusu. Gluži pretēji, fakts, ka tiesību aktos iestādei uzticēta uzraudzības uzdevumu veikšana, apstiprina, ka tā apstrādā datus, pildot pati savus likumā noteiktos pienākumus un saskaņā ar pašas noteiktu kārtību. Ņemot vērā, ka šī iestāde ir “pārzinis”, uz to principā attiecas VDAR vispārīgie noteikumi, it īpaši šīs regulas 5. pantā izklāstītie principi un III nodaļā uzskaitītās datu subjektu tiesības, ja vien tās nav pamatoti ierobežotas ar pietiekami skaidru un samērīgu tiesību normu saskaņā ar VDAR 23. pantu.
48. Uzraudzības iestāžu neatkarība, kas noteikta VDAR 52. pantā un atkārtoti apstiprināta 117. apsvērumā, prasa, lai tās tiktu kvalificētas par “pārziņiem” attiecībā uz personas datu apstrādes darbībām, ko tās veic, pildot savus likumā noteiktos uzdevumus. Tikai patstāvīga attiecīgās apstrādes mērķu un līdzekļu noteikšana apvienojumā ar atbildību, kas no tās izriet, ļauj šīm iestādēm īstenot uzraudzības un saskaņošanas pilnvaras pilnīgi neatkarīgi no struktūrām, kuras tās uzrauga. Ja saistībā ar sūdzību izskatīšanu tās tiktu uzskatītas tikai par trešo personu izvirzītu mērķu izpildītājām, tas apdraudētu šo iestāžu institucionālo autonomiju, tām tiktu atzītas atkarības attiecības attiecībā uz pārbaudāmajiem pārziņiem un tas atņemtu jēgu Savienības tiesībās paredzētajai atbildības prasībai. Tādējādi uzraudzības iestādei pašai ir jāuzņemas atbildība par personas datu apstrādi sūdzības procedūrā, jo uz to pilnībā attiecas VDAR paredzētās datu subjektu tiesības (19).
49. Visbeidzot, ja uzraudzības iestāde netiktu kvalificēta par “pārzini” sūdzību izskatīšanā, datu subjekts lielā mērā atrastos situācijā, kad kāds no galvenajiem viņa datu apstrādes aspektiem nav aizsargāts. Datu subjektu tiesības, kas paredzētas VDAR 12.–22. pantā, it īpaši 15. pantā minētās piekļuves tiesības, var īstenot tikai attiecībā pret pārzini. Bez šādas kvalifikācijas datu subjekts nevarētu uzzināt, kādus datus iestāde vāc un apstrādā saistībā ar sūdzību, kā arī nevarētu pieprasīt šo datu labošanu, dzēšanu vai ierobežošanu. Tādējādi uz iestādes veikto datu apstrādi neattiektos pārredzamības un atbildības prasības, lai gan šai iestādei tieši ir uzdevums nodrošināt datu subjektu tiesību aizsardzību. Ja uzraudzības iestāde netiktu kvalificēta par “pārzini”, tas radītu strukturālu aizsardzības nepilnību un datu subjekts attiecībās ar uzraudzības iestādi zaudētu VDAR paredzētās pamatgarantijas (20).
50. No tā izriet, ka uzraudzības iestāde, izskatot sūdzības, kas iesniegtas saskaņā ar VDAR 77. pantu, lemj par apstrādes nolūkiem un līdzekļiem un neaprobežojas ar trešās personas noteiktu datu saņemšanu vai pārvaldīšanu. Tā rīkojas kā neatkarīga struktūra, kas vāc, organizē, analizē un izmanto personas datus kā pamatu lēmumiem, kas saistīti ar publiskās varas īstenošanu. Tāpēc tā ir kvalificējama par “pārzini” VDAR 4. panta 7. punktā sniegtās plašās definīcijas izpratnē (21).
51. Pilnības labad jānorāda – apstāklis, ka Savienības likumdevējs nav skaidri paredzējis gadījumu, kad uzraudzības iestāde sūdzības procedūrā vienlaikus rīkojas kā “pārzinis” VDAR 4. panta 7. punkta izpratnē, nav atbilstīgs arguments šādas kvalifikācijas noraidīšanai. Gluži pretēji, izšķirošais ir jautājums par to, vai šī iestāde atbilst minētajā normā paredzētajiem materiāltiesiskajiem nosacījumiem. Kā izriet no iepriekšējās analīzes, šajā lietā tas acīmredzami tā ir.
52. Šajā kontekstā nav atbalstāms arī Landesamt arguments, ka atsevišķās VDAR normās noteikti uzraudzības iestāde un “pārzinis” esot stingri nošķirti. Šīs normas attiecas vienīgi uz Savienības likumdevēja paredzēto pamatsituāciju, kurā šīs divas lomas nesajaucas. Tomēr tās neizslēdz iespēju, ka noteiktos apstākļos, piemēram, tādos kā pamatlietā, uzraudzības iestāde var vienlaikus atbilst nosacījumiem, lai to varētu kvalificēt par “pārzini”.
53. Ciktāl dažās VDAR normās ir paredzēta “sadarbība” vai “apspriešanās” starp “pārzini” un uzraudzības iestādi – it īpaši 31. un 36. pantā – iespējamo konfliktu, kas var rasties šo lomu pārklāšanās dēļ, var atrisināt, izmantojot šīs regulas teleoloģisku interpretāciju. Šāda interpretācija nozīmē, ka uzraudzības iestādes iekšējās procedūras ir organizētas un koordinētas tā, lai nodrošinātu attiecīgo normu mērķu efektīvu sasniegšanu.
3. Par sūdzības iesniedzēja piekļuves tiesību, kas pamatotas ar VDAR 15. pantu, esību
54. Kā jau norādīts šajos secinājumos, uzraudzības iestādes kvalificēšana par “pārzini” tai uzliek pienākumu nodrošināt, ka tiek ievērotas tiesības, kas datu subjektiem atzītas VDAR III nodaļā. Vienas no šīm tiesībām it īpaši ir šīs regulas 15. pantā noteiktās piekļuves tiesības.
55. Procedūrā, kas uzsākta atbilstoši VDAR 77. pantam, sūdzības iesniedzējam principā ir arī “datu subjekta” statuss šīs regulas izpratnē. Šajā statusā viņš var pieprasīt uzraudzības iestādei apstiprināt, vai tiek apstrādāti viņa personas dati. Apstiprinošas atbildes gadījumā piekļuves tiesības ietver arī visu informāciju, kas izsmeļoši uzskaitīta VDAR 15. panta 1. punkta a) līdz h) apakšpunktā, tostarp apstrādes nolūkus, attiecīgo datu kategorijas, saņēmējus vai saņēmēju kategorijas, datu glabāšanas ilgumu, kā arī informāciju par datu subjekta tiesībām.
a) Tiesības saņemt “kopiju” atbilstoši VDAR 15. panta 3. punktam
56. Piekļuves tiesības citastarp ietver datu subjekta tiesības saņemt datu kopiju atbilstoši VDAR 15. panta 3. punktam. Šī norma uzliek pārzinim pienākumu sniegt datu subjektam tā personas datu reprodukciju saprotamā formā, kas ļauj precīzi izprast to apstrādes apjomu un kārtību. Šo tiesību mērķis ir dot datu subjektam iespēju pārbaudīt, kādi dati par viņu tiek apstrādāti, identificēt to avotu, saprast to apstrādes nolūkus un uzzināt iespējamos saņēmējus (22).
57. Tiesa ir nospriedusi, ka kopija jāsniedz tādos apstākļos, kas ļauj efektīvi uzraudzīt apstrādes likumību, kā arī lietderīgi īstenot citas VDAR noteiktās tiesības (23). Termins “kopija” neattiecas uz pašu dokumentu, bet uz tajā ietvertajiem personas datiem; ir svarīgi, lai šie dati tiktu paziņoti pilnīgi, skaidri un tā, lai varētu atjaunot to nozīmi. Lai nodrošinātu šo tiesību efektivitāti, var būt nepieciešams reproducēt dokumentu izvilkumus vai pat veselus dokumentus, vai arī datubāzu izvilkumus, kuros citastarp ir apstrādājamie personas dati (24).
58. Tomēr šo tiesību tvērums ir stingri ierobežots atbilstoši to funkcijai. Tās attiecas tikai uz datu subjekta “personas datiem” un ietver jebkādu informāciju, kura attiecas uz šo personu vai ļauj to identificēt VDAR 4. panta 1. punkta izpratnē. Ja šo datu pilnīgākai izpratnei ir nepieciešams to konteksts, pienākums sniegt informāciju var ietvert atbilstoša izvilkuma vai kontekstualizēta izklāsta nosūtīšanu apjomā, kāds nepieciešams, lai izpildītu pārredzamības prasības. Tādējādi tiesības saņemt kopiju ir viens no galvenajiem elementiem ar VDAR ieviestajā informācijas pašnoteikšanas mehānismā, kas garantē datu subjektam būtisku kontroli pār savu datu apstrādi un ļauj tam pārbaudīt, vai tā atbilst Savienības tiesību aktu prasībām.
b) VDAR 15. pantā nav paredzētas “vispārējas tiesības piekļūt administratīvās lietas materiāliem”
59. Tomēr šīs piekļuves tiesības, kas paredzētas VDAR 15. pantā un ir raksturīgas personas datu aizsardzības režīmam, nav pielīdzināmas vispārējām tiesībām piekļūt administratīvās lietas materiāliem vai vispārpiemērojamai administratīvai pārredzamības prasībai. Šī norma ir paredzēta vienīgi tam, lai nodrošinātu apstrādes pārredzamību un ļautu datu subjektam pārbaudīt šīs apstrādes likumību un pienācīgi īstenot no tās izrietošās tiesības, it īpaši tiesības uz labošanu, dzēšanu (“tiesības tikt aizmirstam”), apstrādes ierobežošanu vai iebildumu celšanu (25). Tās turpretī neparedz nedz vispārējas tiesības piekļūt administrācijas rīcībā esošajai informācijai, nedz tiesības iepazīties ar iekšējiem dokumentiem, nedz a fortiori tiesības uz to, ka tiktu izpausta informācija, kas attiecas uz publiskās iestādes iekšējās apspriešanās vai lēmumu pieņemšanas procesu. Tas kļūst acīmredzams, salīdzinot VDAR 15. pantā paredzētās piekļuves tiesības ar citām piekļuves tiesībām, kas noteiktas Savienības tiesību aktos un valstu tiesību aktos.
60. Pirmkārt, VDAR 15. pants un 77. panta 2 punkts ir veltīti atšķirīgiem mērķiem, tāpēc tie ir stingri jānošķir. 77. panta 2. punktā ir noteiktas procesuālās tiesības tikt informētam par sūdzības izskatīšanas virzību un iznākumu, bet ar to nav piešķirtas tiesības piekļūt datiem vai dokumentiem, pamatojoties uz datu aizsardzības noteikumiem. Tādējādi 15. pants ir vērsts uz to, lai nodrošinātu personas kontroli pār saviem personas datiem, taču 77. panta 2. punkts attiecas uz procesuālās pārredzamības prasību sūdzību administratīvā izskatīšanā. Šīs normas, kuru mērķi un tvērums ir autonomi, nedrīkst sajaukt vai savstarpēji aizstāt. Ir runa par neatkarīgiem tiesiskajiem režīmiem, kuri atbilst atšķirīgām normatīvajām loģikām, kuriem ir savi īstenošanas nosacījumi un kuri nepārklājas un nav savstarpēji aizstājami.
61. Otrkārt, ar VDAR 15. pantu ir ieviestas tikai tiesības piekļūt personas datiem, bet nav noteiktas tiesības piekļūt administratīvās lietas materiāliem vai tiesības iepazīties ar iestādes rīcībā esošiem dokumentiem (26). Tā materiālā piemērošanas joma ierobežoti ietver tikai apstrādāto personas datu paziņošanu un neattiecas ne uz administratīvo pārredzamību, ne uz piekļuvi iekšējiem lēmumu pieņemšanas procesiem. Tādējādi tiesības piekļūt lietas materiāliem – izņemot Savienības tiesību aktos paredzētos nozares noteikumus – paliek dalībvalstu normatīvajā kompetencē, kur tās parasti reglamentē tiesību akti par vispārējo administratīvo procedūru, īpaši procesuālie režīmi, likumi par informācijas brīvību un pārredzamību vai arī īpaši profesionālie vai nozares noteikumi (27).
62. No tā izriet, ka ar VDAR 15. pantu nav pamatotas nekādas tiesības uz pašu administratīvās lietas materiālu paziņošanu vai iepazīšanos ar tiem. It īpaši piekļuves tiesību tvērumā neietilpst iekšējas juridiskās analīzes, atzinumi, anotācijas, dienesta piezīmes, sagatavošanas dokumenti, kā arī, vispārīgāk, elementi, kas attiecas uz administratīvā lēmuma sagatavošanas vai iekšējā pamatojuma procesu. Ja iestādes rīcībā esošajā dokumentā ir personas dati, kas attiecas uz sūdzības iesniedzēju, piekļuves sniegšanas pienākums attiecas tikai uz pašu šo datu paziņošanu, nevis uz datu nesēja, kurā tie ir ietverti, pilnīgu nodošanu vai reproducēšanu. Visbeidzot, informācija, kurai nav nekādas saistības ar datu subjekta tiešu vai netiešu identificēšanu, pēc savas būtības neietilpst VDAR 15. panta materiālajā piemērošanas jomā.
63. Turklāt jāatgādina, ka uz VDAR 15. pantā paredzētajām piekļuves tiesībām var attiekties noteikti ierobežojumi saskaņā ar šīs regulas 23. panta 1. punktu, ja ir izpildīti tajā ietvertie nosacījumi. Šis aspekts ir otrā prejudiciālā jautājuma priekšmets; to izskatīšu nākamajā sadaļā.
4. Starpsecinājumi
64. Ņemot vērā iepriekš minētos apsvērumus, uzskatu, ka uz pirmo jautājumu ir jāatbild, ka VDAR 15. pants, to lasot kopsakarā ar 4. panta 7. punktu, jāinterpretē tādējādi, ka uzraudzības iestādei šīs regulas 4. panta 21. punkta izpratnē, veicot darbības ar minētās regulas 77. pantu pamatotā sūdzības procedūrā, ir arī “pārziņa” statuss šīs pašas regulas izpratnē un tādējādi tai ir pienākums nodrošināt datu subjektam VDAR 15. pantā paredzētās piekļuves tiesības.
C. Par otro jautājumu
1. VDAR 23. pantā uzskaitītie tiesību piekļūt personas datiem ierobežojumi
65. Ar otro jautājumu iesniedzējtiesa lūdz skaidrot saistību starp VDAR 23. pantu un valsts tiesību normu, ar kuru, kā tas ir BayDSG 20. panta 2. punkta gadījumā, vispārēji liedz jebkādas tiesības piekļūt informācijai, kas ir uzraudzības iestādes datu aizsardzības jomā, rīcībā vai iepazīties ar šo informāciju. Atbilde uz šo jautājumu prasa padziļināti analizēt VDAR sistēmu, kas izriet no tās formulējuma, mērķa un atbilstīgajiem apsvērumiem, kā arī piemērot Tiesas izstrādātos principus attiecībā uz ierobežojumiem, kurus var noteikt datu subjektu tiesībām.
66. VDAR 23. pantā ir paredzēts, ka ar Savienības vai dalībvalsts leģislatīviem pasākumiem, kas piemērojami datu pārzinim, var ierobežot citustarp piekļuves tiesības, kuras paredzētas šīs regulas 15. pantā, ja vien ar šādu ierobežojumu tiek ievērota pamattiesību un pamatbrīvību būtība un tas ir demokrātiskā sabiedrībā nepieciešams un samērīgs pasākums, ar ko tiecas nodrošināt, ka tiek īstenots kāds no šīs normas a) līdz j) apakšpunktā minētajiem likumīgajiem mērķiem. Tomēr VDAR 23. panta 1. punkts nav interpretējams kā tāds, ar ko valsts likumdevējam būtu ļauts brīvi aizstāt minētās regulas 12.–22. panta normas ar savu paša regulējumu. Gluži pretēji, šī norma sniedz ierobežotu kopumu atvērējklauzulu, kas ļauj valsts likumdevējam konkrēti uzskaitītu iemeslu dēļ paredzēt ierobežojumus datu subjektu tiesībām, kā arī pienākumiem, kuri ir saistoši pārzinim saskaņā ar šiem pašiem pantiem (28).
67. Tādējādi ar VDAR 23. pantu ir ieviests atkāpes režīms jomās, uz kurām tas attiecas; tās galvenokārt ir saistītas ar sabiedrības interešu uzdevumu veikšanu un vispārējo interešu mērķu sasniegšanu, kas var pamatot datu subjektu tiesību ierobežošanu salīdzinājumā ar citām darbības jomām. Šajā saistībā ir jāņem vērā VDAR 4. apsvēruma pirmais un otrais teikums, kas nosaka, ka ir jālīdzsvaro attiecīgās pamattiesības un jāpārliecinās, ka paredzētie ierobežojumi ir pamatoti, nepieciešami un samērīgi, ņemot vērā konkurējošās tiesības un intereses.
68. No iesniedzējtiesas nolēmuma izriet, ka, lai gan BayDSG pamatojumā ir skaidri minēts VDAR 23. pants kā BayDSG 20. panta 2. punkta juridiskais pamats, tajā nav atsauces ne uz vienu no šajā normā minētajiem mērķiem. Tajā ir vienīgi norādīts, ka šī norma atspoguļojot īpašo mērķa prasību, kas attiecas uz informāciju, kura iegūta saistībā ar datu aizsardzības uzraudzības darbībām. Tomēr iesniedzējtiesa norāda, ka saskaņā ar Landesamt apsvērumiem pamatlietā šai normai faktiski esot divi galvenie mērķi: pirmkārt, trešo personu personas datu konfidencialitātes saglabāšana un, otrkārt, uzraudzības iestādes pienācīgas darbības un neatkarības nodrošināšana.
69. Atbilstoši principiem, kas reglamentē ar LESD 267. pantu ieviesto sadarbības mehānismu starp Savienības tiesu un valstu tiesām – saskaņā ar kuriem valsts tiesību normu interpretācija ir vienīgi valsts tiesu kompetencē (29) –, Tiesai ir jāpaļaujas uz šo tiesu sniegto skaidrojumu par šo tiesību saturu un tvērumu (30); šos elementus izmantošu kā pamatu savai analīzei.
2. VDAR 15. pantā paredzēto piekļuves tiesību vispārējas liegšanas saderība ar šīs regulas 23. pantu
70. Turpinot šos secinājumus, noteikšu, vai VDAR 15. pantā paredzēto piekļuves tiesību vispārēju liegšanu var pamatot, ņemot vērā iepriekš minētos leģitīmos mērķus. Analizēšu arī to, vai šāds regulējums atbilst papildu prasībām, kuras ar VDAR 23. pantu ir noteiktas jebkuriem šo tiesību ierobežojumiem.
a) Leģitīma mērķa esība
1) Trešo personu personas datu konfidencialitātes aizsardzība
71. Trešo personu personas datu konfidencialitātes aizsardzība ir leģitīms mērķis VDAR izpratnē un principā var pamatot ierobežojumus datu subjektiem piešķirtajām tiesībām. Šajā saistībā ir jānorāda, ka attiecībā uz VDAR 15. pantā paredzētajām piekļuves tiesībām šīs regulas 63. apsvērumā ir precizēts, ka “minētajām tiesībām nevajadzētu nelabvēlīgi ietekmēt citu personu tiesības vai brīvības”. Tātad ir ņemts vērā tas, ka atbilstoši minētās regulas 4. apsvērumam tiesības uz personas datu aizsardzību nav absolūta prerogatīva, jo tās ir jāvērtē saistībā ar to funkciju sabiedrībā un jālīdzsvaro ar citām pamattiesībām (31).
72. VDAR 23. panta 1. punkta i) apakšpunktā ir skaidra atsauce uz “citu personu tiesību un brīvību aizsardzību”, kā apstiprināts šīs regulas 73. apsvērumā. Līdz ar to, ja ir runa par valsts pārvaldes darbinieku vai privātpersonu personas datiem, valsts likumdevējs var pamatoti balstīties uz to, ka šo datu izpaušana aizskartu personiskās tiesības un ka pastāv nepieciešamība piemērot aizsardzību, kura ir jālīdzsvaro ar sūdzības iesniedzēja tiesībām piekļūt datiem.
2) Uzraudzības iestādes pienācīgas darbības un neatkarības aizsardzība
73. Uzraudzības iestāžu pienācīgas darbības un lēmumu pieņemšanas neatkarības aizsardzība arī ir leģitīms mērķis VDAR 23. panta 1. punkta izpratnē. Savienības likumdevējs tām piešķir galveno nozīmi Eiropas datu aizsardzības sistēmā, kā liecina, no vienas puses, šīs regulas 52. pants, kas garantē to pilnīgu neatkarību, un, no otras puses, tās 57. un 58. pantā paredzēto izmeklēšanas pilnvaru un korektīvo prerogatīvu apjoms (32). Šajā saistībā Tiesa savā judikatūrā ir uzsvērusi, ka ir jānodrošina šo iestāžu pienācīga darbība, it īpaši gādājot, lai šo darbību netraucētu tas, ka tiek iesniegtas acīmredzami nepamatotas vai pārmērīgas sūdzības VDAR 57. panta 4. punkta izpratnē (33).
74. Līdz ar to, ņemot vērā VDAR 23. panta 1. punkta h) apakšpunktu, kas ļauj pieņemt ierobežojumus, ja tie ir nepieciešami “uzraudzības” un “pārbaudes” funkciju īstenošanai, kura ir saistīta ar oficiālu pilnvaru īstenošanu, piekļuves tiesību ierobežošana principā var būt pamatota. Turklāt, ņemot vērā pastāvošās paralēles, ir jāņem vērā arī VDAR 23. panta 1. punkta f) apakšpunktā izklāstītais mērķis, kas precizēts šīs regulas 73. apsvērumā un ar ko tiecas nodrošināt tiesu varas neatkarību un tiesvedības norises aizsardzību. Protams, uzraudzības iestādes neietilpst tiesu varas sistēmā, tomēr tās, tāpat kā valsts iestādes, kas atbild par tiesību aktu piemērošanu, pilda būtisku lomu tiesību aktu pārkāpumu atklāšanā un sodīšanā personas datu aizsardzības jomā. No tā izriet, ka šīs normas piemērošana pēc analoģijas katrā ziņā ir iespējama.
3) Sabiedrības drošības aizsardzība
75. Pilnības labad jānorāda, ka iesniedzējtiesas nolēmumā kā iespējams pamatojums ir minēta arī sabiedrības drošības aizsardzība VDAR 23. panta 1. punkta c) apakšpunkta izpratnē, taču sīkāka informācija par to nav sniegta. Tomēr ir jāpiekrīt iesniedzējtiesas un Komisijas viedoklim, ka šāda atsaukšanās nav pamatota. Ņemot vērā pamatlietas faktus, ko ir izklāstījusi iesniedzējtiesa, šāds ierobežojums acīmredzami nešķiet atbilstīgs. Tādējādi šis pamatojums tiks izslēgts no turpmākās analīzes.
b) Prasības, kas noteiktas ar VDAR regulējumu
76. No vienas puses, ir jākonstatē, ka tādā valsts tiesiskajā regulējumā kā BayDSG 20. panta 2. punkts ir pienācīgi ņemtas vērā intereses, kas saistītas ar trešo personu personas datu konfidencialitāti, ciktāl ar to ir kategoriski aizliegta šādu datu izpaušana. Turklāt nevar izslēgt, ka uzraudzības iestāžu nesadarbošanās piekļuves pieprasījumu apstrādē var izraisīt cilvēkresursu un materiālo resursu izmantošanu citās darbības jomās, kas attiecīgā gadījumā var radīt noteiktu efektivitātes ieguvumu.
77. No otras puses, šādi apstākļi rada šaubas par to atbilstību normatīvajam regulējumam, ko Savienības likumdevējs ieviesa, pieņemot VDAR, un it īpaši par atbilstību šīs regulas vispārējai sistēmai, kuras pamatā ir līdzsvars starp vairākām interesēm: datu apstrādes pārredzamību, konfidencialitātes saglabāšanu, kad tā ir nepieciešama, un šo interešu efektīvu aizsardzību, ko nodrošina uzraudzības iestādes. Tādējādi valsts tiesiskais regulējums, kas pienācīgi neatspoguļo šo interešu līdzsvarošanu, nevar atbilst VDAR 23. panta 1. punkta prasībām. Tas pats attiecas uz gadījumiem, kad izrādās, ka ir iespējami pasākumi, kas mazāk ierobežo pamattiesības, bet ir tikpat efektīvi izvirzīto mērķu sasniegšanai (34).
78. Šajā saistībā ir jāatgādina, ka VDAR 15. pantā paredzētās piekļuves tiesības ir izstrādātas kā būtisks pārredzamības principa elements. Šāds raksturojums skaidri izriet no šīs regulas 63. apsvēruma, saskaņā ar kuru datu subjektam ir jābūt iespējai “[zināt] par apstrādi”, lai būtu nodrošināta minētajā regulā datu subjektam piešķirto tiesību efektivitāte. Tiesa vairākkārt ir apstiprinājusi šo uzskatu, norādot, ka piekļuves tiesības ieņem būtisku vietu ar šo regulu ieviestā regulējuma vispārējā sistēmā. Tādējādi valsts tiesību norma, kas vispārēji un nediferencēti liedz datu subjektam šīs tiesības, apdraud Savienības likumdevēja izveidotās aizsardzības sistēmas pašu būtību.
79. Lai gan VDAR 23. pantā ir atļauts ierobežot datu subjektu tiesības, tostarp piekļuves tiesības, sabiedrības interešu apsvērumu dēļ, tajā vienlaikus ir prasīts, lai šādiem ierobežojumiem būtu pietiekami precīzs juridiskais pamats. Šajā pamatā ir jābūt skaidri definētam ierobežojuma veidam, apjomam un robežām, kā arī garantijām, kas nepieciešamas, lai novērstu ļaunprātīgas izmantošanas riskus. Šīs regulas 41. apsvērumā ir precizēts, ka jebkuram ierobežojumam attiecībā uz minētajā regulā garantētajām tiesībām ir jābūt “skaidram un precīzam” un datu subjektam, kuram ir jābūt iespējai noteikt to ierobežojumu apjomu, ko var piemērot viņa tiesībām, ir “jāspēj paredzēt” ierobežojumu (35). Valsts tiesību norma, kurā ir paredzēta absolūta piekļuves tiesību liegšana, neprecizējot tās materiālo piemērošanas jomu vai piemērojamību personām un neparedzot aizsardzības pasākumus, nevar atbilst šādām prasībām.
80. Turklāt VDAR 60. apsvērumā ir atgādināts, ka pārredzamība ir personas datu apstrādes pamatprincips, kas piemērojams arī valsts iestāžu darbībai. Lai gan uz laiku var tikt liegts izpaust noteiktu informāciju saistībā ar sūdzības procedūru, it īpaši lai neapdraudētu pārkāpumu novēršanu, atklāšanu vai izmeklēšanu (36), šāds ierobežojums ir jāpiemēro tikai tad, ja tas ir stingri nepieciešams un samērīgs, un tas nedrīkst pilnībā izbeigt pārredzamību attiecībā uz datu subjektu. Tādējādi valsts tiesību norma, kas liedz jebkādu piekļuvi, nenošķirot personas datus un iekšējos dokumentus, neatbilst VDAR sistēmai.
81. Tiesa, ņemot vērā Hartas 52. panta 1. punktu, arī ir nospriedusi, ka ierobežojumiem, ko var noteikt pamattiesībām, ir jāatbilst ne tikai tiesiskuma un samērīguma principiem, bet arī principam, kurš prasa ievērot attiecīgo tiesību “būtību” (37). VDAR 4. apsvērumā ir atkārtoti apstiprināts, ka personas datu aizsardzība ir pamattiesības, kas noteiktas Hartas 8. pantā, un to ierobežojumi ir pieļaujami tikai saskaņā ar samērīguma principu. Tomēr pilnīga piekļuves tiesību liegšana nozīmē, ka datu subjektam tiek liegta šo tiesību pati būtība, jo tam tiek liegts pat minimāli kontrolēt apstrādi, kas uz viņu attiecas.
82. VDAR 75. apsvērumā papildus ir uzsvērts, ka pats pārredzamības trūkums vai nepietiekamība rada risku, kas var nopietni ietekmēt datu subjektu tiesības un brīvības. Regulējums, kas pilnībā liedz datu subjektam iespēju uzzināt par tā datu apstrādi, rada tieši tādu riska situāciju, kādu likumdevējs vēlējās novērst.
83. Jāpiebilst, ka VDAR 129. apsvērumā uzraudzības iestādes ir definētas kā neatkarīgas iestādes, kuru uzdevums ir uzraudzīt šīs regulas piemērošanu un aizsargāt datu subjektu tiesības. Tomēr šis uzdevums, kā arī uzraudzības iestāžu loma VDAR izveidotajā uzraudzības mehānismā nenozīmē, ka tās ir atbrīvotas no visiem šajā regulā noteiktajiem pienākumiem. Gluži pretēji, ar VDAR ir izveidots saskaņots tiesiskais regulējums, kurā uzraudzības iestādes, īstenojot savas prerogatīvas, joprojām ir pilnībā pakļautas tajā paredzētajiem noteikumiem, it īpaši attiecībā uz datu subjektu tiesībām. Valsts tiesību norma, kas pilnībā liedz jebkādu datu izpaušanu attiecībā uz datu subjektu, apdraud šo līdzsvaru un neizpilda uzraudzības iestādēm noteikto atbildības prasību.
84. Turklāt pilnīga piekļuves tiesību liegšana šķiet nesaderīga ar VDAR mērķi nodrošināt augsta līmeņa datu aizsardzību fiziskām personām, kā atgādināts šīs regulas 10. apsvērumā (38). Minētais aizsardzības līmenis galvenokārt balstās uz pārredzamību un datu subjekta iespēju kontrolēt ar viņu saistītās apstrādes darbības. Šajā saistībā minētās regulas 15. pantā paredzētās piekļuves tiesības ir tam nepieciešams elements, jo tās ir pamats visu pārējo datu subjekta tiesību efektīvai īstenošanai (39). Šo tiesību vispārēja liegšana nozīmētu, ka uz noteiktām apstrādes darbībām neattiektos nekāda individuāla kontrole un tādējādi būtu apdraudēta Savienības likumdevēja paredzētā augstā aizsardzības līmeņa efektivitāte.
85. Attiecībā uz mērķi aizsargāt trešo personu tiesības un brīvības, kas tika minēts, lai pamatotu piekļuves tiesību ierobežojumu, ir jāatgādina, ka Tiesa ir nospriedusi – gadījumā, ja piekļuves tiesības ir pretrunā citu personu tiesībām vai brīvībām, iestādēm ir jālīdzsvaro iesaistītās intereses. No VDAR 63. apsvēruma skaidri izriet, ka šāda interešu līdzsvarošana nekādā gadījumā nevar pamatot pilnīgu piekļuves liegšanu (40). Ir iespējamas piemērotas metodes, piemēram, daļēja informācijas izpaušana, datu aizklāšana vai anonimizēšana, trauksmes cēlēju identitātes aizsardzība, atšķirīga attieksme atkarībā no dokumentu kategorijas vai strukturētas, neindividualizētas informācijas sniegšana, kas ļauj saskaņot attiecīgās intereses, pilnībā neierobežojot piekļuves tiesības.
86. Attiecībā uz minēto nepieciešamību nodrošināt uzraudzības iestāžu uzdevumu neatkarīgu un efektīvu izpildi, nav skaidrs, kādā ziņā VDAR 15. pantā paredzēto piekļuves tiesību izmantošana varētu apdraudēt šo mērķi. Ir jāpiekrīt iesniedzējtiesas vērtējumam, ka uzraudzības iestāžu neatkarība nekādi nenozīmē, ka uz to veiktās personas datu apstrādes likumību nedrīkstētu attiekties datu subjekta kontrole. Tādējādi ir jānoraida risks, ka piekļuve informācijai varētu veicināt iespējamu “ietekmi”, kā to apgalvo Landesamt.
87. Turklāt, kā tika izklāstīts šajos secinājumos, ar VDAR 15. pantu nav paredzētas vispārējas tiesības piekļūt lietas materiāliem (41), tāpēc no tā izrietošajam administratīvajam slogam vajadzētu palikt ierobežotam. Neatkarīgi no tā ir jānorāda, ka VDAR 12. panta 5. punktā uzraudzības iestādēm ir paredzēts atbilstošs instruments ļaunprātīgu vai pārmērīgu pieprasījumu gadījumiem (42). Tām ir arī tiesības veikt dažādus pārvaldības pasākumus, piemēram, uz laiku nesniegt informāciju procedūras laikā, neizpaust noteiktus iekšējos dokumentus, nošķirt dažādus procedūru veidus, sniegt informāciju tikai par jau pabeigtiem posmiem vai ieviest organizatoriskus mehānismus, lai panāktu, ka iekšējos procesus netraucē piekļuves pieprasījumi. Šādi pasākumi ļauj nodrošināt uzraudzības iestāžu pienācīgu darbību, vienlaikus pilnībā neliedzot VDAR 15. pantā paredzētās piekļuves tiesības.
88. Jāatceras arī, ka uzraudzības iestāžu efektivitāte ir izšķiroši atkarīga no tā, vai šo iestāžu rīcībā nonāk nepieciešamie līdzekļi, proti, cilvēkresursi, tehniskie un finanšu resursi, kā arī telpas un infrastruktūra, kas vajadzīgi to uzdevumu un pilnvaru efektīvai īstenošanai (43). Ar VDAR 52. panta 4. punktu dalībvalstīm ir skaidri noteikts pienākums nodrošināt šādu aprīkojumu. Šajā saistībā uzraudzības iestāžu funkcionalitātes jautājums nevar tikt šauri attiecināts tikai uz piekļuves pieprasījumu, kas pamatoti ar VDAR 15. pantu, skaitu. Nepietiekams iestāžu aprīkojums nekādā gadījumā nedrīkst izraisīt personas datu aizsardzības līmeņa pazemināšanos.
89. No iesniedzējtiesas nolēmuma izriet, ka BayDSG 20. panta 2. punkts ir īpašs gadījums Vācijas tiesību sistēmā, jo nevienā citā federālajā zemē nav paredzēts līdzīgs piekļuves tiesību ierobežojums. Šāda atšķirība normatīvajā ziņā ir nopietna norāde uz to, ka tik liela apjoma ierobežojumu nevar uzskatīt par nepieciešamu vai samērīgu VDAR 23. panta 1. punkta izpratnē. Tā kā visas pārējās uzraudzības iestādes veic savus uzdevumus, neizmantojot vispārēju datu subjektu tiesību liegšanu, nevar apgalvot, ka šāds pasākums būtu nepieciešams iestādes pienācīgai darbībai vai trešo personu tiesību aizsardzībai. Tikai vienai federālajai zemei raksturīgs regulējums, kas ievērojami stingrāk ierobežo VDAR garantētās tiesības nekā regulējums, kas pieņemts citās valsts teritorijas daļās, nešķiet atbilstošs saskaņotības, nepieciešamības un samērīguma prasībām, kas izriet no Savienības tiesībām.
90. Tādējādi ir jākonstatē, ka abu minēto mērķu sasniegšanai – trešo personu tiesību aizsardzībai un uzraudzības iestāžu pienākumu pienācīgas izpildes nodrošināšanai – ir iespējami mazāk ierobežojoši, diferencēti un ar Savienības tiesībām saderīgi pasākumi, kas ļauj sasniegt vajadzīgos rezultātus, neliedzot piekļuves tiesību būtību, neiznīcinot pārredzamību, kāda prasīta attiecībā uz datu subjektu, un neapdraudot iespēju kontrolēt veiktās apstrādes likumību.
91. Vēl viens kritisks aspekts ir tas, ka BayDSG 20. panta 2. punkts neļauj identificēt valsts likumdevēja mērķi. Kā izriet no iesniedzējtiesas norādēm, sagatavošanas darbos kā juridiskais pamats ir minēts tikai VDAR 23. pants, bet tajos nav atsauces ne uz kādu no šajā normā uzskaitītajiem mērķiem. Tomēr 23. pantā ir prasīts, lai ierobežojuma mērķis skaidri izrietētu no pašas normas; tas ir nepieciešams nosacījums, lai varētu efektīvi pārbaudīt nepieciešamības un samērīguma principu ievērošanu.
92. Šo skaidrības prasības neizpildi nevar novērst ar pamatojumiem, ko ex post sniedzis prejudiciālā nolēmuma tiesvedības dalībnieks saskaņā ar LESD 267. pantu, it īpaši ja šis dalībnieks ir tas, kas gūst labumu no attiecīgā ierobežojuma. Ja tiktu atzīta šāda iespēja, demokrātiski atbildīga likumdevēja griba tiktu aizstāta ar argumentu veidojumu, kas izstrādāts tiesvedībā, un tas būtu pretrunā paredzamības, normatīvās pārredzamības un tiesiskās drošības prasībām, kuras izriet no VDAR 23. panta 1. un 2. punkta.
93. Šādos apstākļos ir jāsecina, ka vispārēja un nediferencēta piekļuves tiesību liegšana, kāda paredzēta BayDSG 20. panta 2. punktā, neatbilst VDAR 23. panta prasībām, jo tajā nav iekļauts neviens no tā 2. punktā skaidri prasītajiem elementiem un tā neatbilst ne šīs regulas sistēmai, ne mērķim, kas izriet no atbilstīgajiem apsvērumiem. Šāda norma ir nesamērīga, nepietiekami konkrēta un tāda, kas var atņemt piekļuves tiesībām to būtisko saturu.
3. Starpsecinājumi
94. Iepriekš minēto iemeslu dēļ uzskatu, ka VDAR 23. pants jāinterpretē tādējādi, ka tam pretrunā ir tāds valsts tiesiskais regulējums kā BayDSG 20. panta 2. punkts, ciktāl ar to ir izslēgta jebkādu piekļuves tiesību, kas balstītas uz šīs regulas 15. pantu, izvirzīšana attiecībā uz uzraudzības iestādi.
VI. Secinājumi
95. Ņemot vērā iepriekš minētos apsvērumus, ierosinu Tiesai uz Bayerisches Verwaltungsgericht Ansbach (Bavārijas Administratīvā tiesa Ansbahā, Vācija) uzdotajiem prejudiciālajiem jautājumiem atbildēt šādi:
1) Eiropas Parlamenta un Padomes Regulas (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) 15. pants, to lasot kopsakarā ar 4. panta 7. punktu,
jāinterpretē tādējādi, ka
uzraudzības iestādei šīs regulas 4. panta 21. punkta izpratnē, veicot darbības ar minētās regulas 77. pantu pamatotā sūdzības procedūrā, ir arī “pārziņa” statuss šīs pašas regulas izpratnē un tādējādi tai ir pienākums nodrošināt datu subjektam minētās Regulas 2016/679 15. pantā paredzētās piekļuves tiesības.
2) Regulas 2016/679 23. pants
jāinterpretē tādējādi, ka
tam pretrunā ir tāds valsts tiesiskais regulējums kā Bavārijas Datu aizsardzības likuma 20. panta 2. punkts, ar kuru ir izslēgta jebkādu piekļuves tiesību, kas balstītas uz šīs regulas 15. pantu, izvirzīšana attiecībā uz Bavārijas Datu aizsardzības uzraudzības iestādi.
1 Oriģinālvaloda – franču.
2 OV 2016, L 119, 1. lpp.
3 Skat. šo secinājumu 24. un nākamos punktus.
4 Skat. šo secinājumu 65. un nākamos punktus.
5 Skat. spriedumu, 2019. gada 29. jūlijs, Fashion ID (C‑40/17, EU:C:2019:629, 65. un 66. punkts).
6 Tiesa pat ir nospriedusi, ka fiziska vai juridiska persona, kura savos nolūkos ietekmē personas datu apstrādi un tāpēc piedalās šīs apstrādes nolūku un mērķu noteikšanā, var tikt kvalificēta par “pārzini” (skat. spriedumus, 2018. gada 10. jūlijs, Jehovan todistajat, C‑25/17 (EU:C:2018:551, 68. punkts), un 2019. gada 29. jūlijs, Fashion ID, C‑40/17 (EU:C:2019:629, 68. punkts)).
7 VDAR skaidri nedefinē, kas ir “sūdzība”, bet tās 77. panta formulējums sniedz sākotnēju norādi. Saskaņā ar Eiropas Datu aizsardzības kolēģijas (EDAK) pamatnostādnēm sūdzība ir iesniegums, ko uzraudzības iestādei iesniedz identificēta fiziska persona – vai struktūra, kas atbilst 80. panta nosacījumiem –, kura uzskata, ka ar tās datu apstrādi ir pārkāpta VDAR. EDAK precizē, ka šis jēdziens neaprobežojas tikai ar III nodaļā minēto tiesību pārkāpumiem, bet plašākā nozīmē ietver jebkuru regulas pārkāpumu, kas izriet no sūdzības iesniedzēja personas datu apstrādes (EDAK, “Internal Document 6/2020 on preliminary steps to handle a complaint”, 2020. gada 15. decembris, 3. lpp.).
8 Skat. spriedumus, 2023. gada 7. decembris, SCHUFA Holding (Atbrīvošana no atlikušajām parādsaistībām) (C‑26/22 un C‑64/22, EU:C:2023:958, 58. punkts), 2024. gada 26. septembris, Land Hessen (Datu aizsardzības iestādes pienākums rīkoties) (C‑768/21, EU:C:2024:785, 35. punkts), un 2025. gada 9. janvāris, Österreichische Datenschutzbehörde (Pārmērīgi pieprasījumi) (C‑416/23, EU:C:2025:3, 39. punkts).
9 Skat. EBTA tiesas spriedumu, 2020. gada 10. decembris, UC/EBTA Uzraudzības iestāde (apvienotās lietas E‑11/19 un E‑12/19, 45. punkts).
10 Skat. spriedumus, 2015. gada 6. oktobris, Schrems (C‑362/14, EU:C:2015:650, 63. punkts), 2020. gada 16. jūlijs, Facebook Ireland un Schrems (C‑311/18, EU:C:2020:559, 107. punkts), 2023. gada 7. decembris, SCHUFA Holding (Atbrīvošana no atlikušajām parādsaistībām) (C‑26/22 un C‑64/22, EU:C:2023:958, 56. punkts), un 2024. gada 26. septembris, Land Hessen (Datu aizsardzības iestādes pienākums rīkoties) (C‑768/21, EU:C:2024:785, 32. punkts).
11 Šajā kontekstā ir jāatgādina ģenerāladvokāta P. Pikamēes [P. Pikamäe] secinājumi apvienotajās lietās SCHUFA Holding (Atbrīvošana no atlikušajām parādsaistībām) (C‑26/22 un C‑64/22, EU:C:2023:222, 42. punkts), kuros viņš uzsvēra, ka Savienības likumdevēja mērķis nav bijis sūdzību procedūru tikai pielīdzināt “lūgumraksta” procedūrai. Gluži pretēji, mērķis bija izveidot mehānismu, kas spētu efektīvi aizsargāt sūdzību iesniedzēju tiesības un intereses. It īpaši VDAR 57. panta 1. punkta f) apakšpunktā noteiktās prasības, kas ir saistošas uzraudzības iestādei, izskatot šīs sūdzības, un kuras atbilst “labas pārvaldības” principam, apliecina likumdevēja vēlmi padarīt šo procedūru par patiesu “tiesību aizsardzības līdzekli administratīvā kārtā”.
12 Skat. spriedumu, 2024. gada 26. septembris, Land Hessen (Datu aizsardzības iestādes pienākums rīkoties) (C‑768/21, EU:C:2024:785, 42. punkts).
13 Skat. spriedumu, 2023. gada 7. decembris, SCHUFA Holding (Atbrīvošana no atlikušajām parādsaistībām) (C‑26/22 un C‑64/22, EU:C:2023:958, 70. punkts), un 2024. gada 26. septembris, Land Hessen (Datu aizsardzības iestādes pienākums rīkoties) (C‑768/21, EU:C:2024:785, 49. punkts).
14 Savienības tiesību aktos nav vienotu prasību par to, kā konkrēti uzraudzības iestādēm ir jāizskata sūdzības. Tāpēc administratīvajā praksē starp dalībvalstīm pastāv atšķirības. Tomēr EDAK, izmantojot vadlīnijas un izstrādājot “labas prakses” piemērus, cenšas nodrošināt noteiktu uzraudzības darbības un procedūras noteikumu saskaņotību, it īpaši attiecībā uz sūdzību pieņemšanu un arhivēšanu, izlīgumu konstatēšanu utt. (šajā saistībā skat. EDAK, “Internal document 6/2020 on preliminary steps to handle a complaint: admissibility and vetting of complaints”, 2020. gada 15. decembris).
15 Kā EBTA tiesa norādīja 2020. gada 10. decembra spriedumā UC/EBTA Uzraudzības iestāde (apvienotās lietas E‑11/19 un E‑12/19, 60. punkts), uzraudzības iestāde saskaņā ar VDAR 57. panta 1. punkta h) apakšpunktu ir pilnvarota uzsākt izmeklēšanu pēc savas ierosmes. Līdz ar to, izskatot sūdzību, tā var spriest par citiem prasījumiem vai citu strīda priekšmetu nekā tas, ko sūdzības iesniedzējs minējis savā sūdzībā. Lai sūdzību izskatīšanas procedūra būtu efektīva, uzraudzības iestādes izmeklēšanas pilnvaru īstenošanu nedrīkst ierobežot veids, kādā sūdzības iesniedzējs savā sūdzībā ir formulējis attiecīgos tiesību jautājumus.
16 Uzraudzības iestādes, šķiet, izskata sūdzības, vai nu pamatojoties uz valsts tiesību aktu noteikumiem, vai arī saskaņā ar savu rīcības brīvību. Šķiet, ka pastāv arī atšķirības sūdzību izskatīšanā, pamatojoties uz pragmatiskiem kritērijiem vai vienkāršotā procedūrā (šajā saistībā skat. González Fuster, G. un citi, “The right to lodge a complaint : ok, but then what? – An empirical study of current practices under the GDPR”, Access Now, Open Universiteit, 2022, 30. lpp.).
17 Skat. spriedumus, 2024. gada 11. janvāris, État belge (Oficiālā laikrakstā apstrādāti dati) (C‑231/22, EU:C:2024:7, 39. punkts), un 2005. gada 27. februāris, Amt der Tiroler Landesregierung (C‑638/23, EU:C:2025:127, 49. punkts).
18 Pēc Tiesas lūguma Landesamt izklāstīja savu administratīvo praksi sūdzību izskatīšanā. Tā šajā saistībā precizēja, ka sūdzību iesniedzēji var nosūtīt pieprasījumus, tostarp elektroniski, Landesamt kompetentajiem darbiniekiem un lūgt piekļuvi lietas materiāliem. No šā izklāsta skaidri izriet, ka Landesamt sūdzību izskatīšanas kārtība, it īpaši attiecībā uz vāktajiem datiem, veiktajiem organizatoriskajiem pasākumiem un veikto izmeklēšanu, ietilpst Landesamt autonomijā, kas tai piešķirta ar VDAR šīs iestādes uzdevumu izpildei.
19 Möhle, J.-P., “Verantwortlichkeit als integrierendes Konzept im Datenschutzrecht” Die Öffentliche Verwaltung, 2023, Nr. 3, 108. lpp.; autors paskaidro, ka tikai personai, kura faktiski spēj īstenot ietekmi, var būt saistoši pienākumi, kas izriet no datu aizsardzības tiesībām (piemēram, informācijas sniegšanas, atbildības vai sadarbības pienākumi), proti, personai, kura spēj novērst datu aizsardzības noteikumu pārkāpumus nākotnē. Manuprāt, nav šaubu, ka sūdzības procedūrā tikai uzraudzības iestāde var atbilst šai definīcijai.
20 Kā Tiesa ir nospriedusi, mērķis tam, ka jēdzienu “pārzinis” definē plaši, ir tieši nodrošināt datu subjektu efektīvu un pilnīgu aizsardzību (skat. spriedumus, 2014. gada 13. maijs, Google Spain un Google, C‑131/12 (EU:C:2014:317, 34. punkts)), 2019. gada 29. jūlijs, Fashion ID (C‑40/17, EU:C:2019:629, 66. punkts), un 2018. gada 5. jūnijs, Wirtschaftsakademie Schleswig‑Holstein (C‑210/16, EU:C:2018:388, 28. punkts)).
21 Šajā saistībā skat. Kunert, J., “Vorabentscheidungsersuchen an den EuGH zur Aufsichtsbehörde als Verantwortlicher und zur Rechtmäßigkeit des Art. 20 II BayDSG”, GRUR‑Prax, 2025, Nr. 9, 324. lpp.
22 Skat. spriedumu, 2023. gada 22. jūnijs, Pankki S (C‑579/21, EU:C:2023:501, 50. punkts).
23 Skat. spriedumu, 2023. gada 4. maijs, Österreichische Datenschutzbehörde un CRIF (C‑487/21, EU:C:2023:369, 33. un 34. punkts).
24 Skat. spriedumu, 2023. gada 4. maijs, Österreichische Datenschutzbehörde un CRIF (C‑487/21, EU:C:2023:369, 41. punkts).
25 Skat. spriedumus, 2017. gada 20. decembris, Nowak (C‑434/16, EU:C:2017:994, 57. punkts), 2023. gada 12. janvāris, Österreichische Post (Informācija par personas datu saņēmējiem) (C‑154/21, EU:C:2023:3, 38. punkts), un 2023. gada 4. maijs, Österreichische Datenschutzbehörde un CRIF (C‑487/21, EU:C:2023:369, 35. punkts).
26 Zanfir‑Fortuna, G., “Article 15. Right of access by the data subject”, Kuner, C., Bygrave, L. A. un Docksey, C., The EU General Data Protection Regulation (GDPR): A Commentary, Oksforda, 2020, 452. lpp.; autori uzsver, ka ir jānošķir VDAR 15. pantā paredzētās tiesības piekļūt pašam saviem personas datiem un tiesības piekļūt publiskai informācijai. Šo divu tiesību pamatā ir atšķirīgi normatīvie mērķi: pirmo mērķis ir nodrošināt pārredzamību attiecībā uz personu, kuras datus pārzinis vāc un apstrādā (pārredzamība inter partes), savukārt otro mērķis ir nodrošināt pārredzamību attiecībā uz sabiedrību saistībā ar informāciju, kas ir sabiedriski nozīmīga vai interesanta (pārredzamība erga omnes).
27 Gumzej, N., “DPA powers toward effective and transparent GDPR enforcement: the case of Croatia”, Juridical Tribune – Review of Comparative and International Law, 13. sēj., Nr. 2 (2023), 210. lpp.; autors atsaucas uz spēkā esošajiem tiesību aktiem attiecībā uz brīvu piekļuvi informācijai.
28 Schemmer, F., “Der Auskunftsanspruch der DS‑GVO – Umfang des datenschutzrechtlichen Auskunftsanspruchs gem. Art. 15 DS‑GVO und dessen Grenzen”, Zeitschrift für das gesamte Informationsrecht, 2024, Nr. 5, 210. lpp.
29 Skat. spriedumus, 2007. gada 6. marts, Placanica u.c. (C‑338/04, C‑359/04 un C‑360/04, EU:C:2007:133, 34. punkts), un 2022. gada 21. jūnijs, Ligue des droits humains (C‑817/19, EU:C:2022:491, 240. punkts).
30 Skat. spriedumus, 2001. gada 25. oktobris, Ambulanz Glöckner (C‑475/99, EU:C:2001:577, 10. punkts), un 2024. gada 14. novembris, S. (Iztiesāšanas sastāva izmaiņas) (C‑197/23, EU:C:2024:956, 43. punkts).
31 Skat. spriedumus, 2020. gada 16. jūlijs, Facebook Ireland un Schrems (C‑311/18, EU:C:2020:559, 172. punkts), 2023. gada 12. janvāris, Österreichische Post (Informācija par personas datu saņēmējiem) (C‑154/21, EU:C:2023:3, 47. punkts), un 2024. gada 21. marts, Landeshauptstadt Wiesbaden (C‑61/22, EU:C:2024:251, 75. punkts).
32 Giurgiu, A., un Larsen, T., Roles and Powers of National Data Protection Authorities – Moving from Directive 95/46/EC to the GDPR: Stronger and More European DPAs as Guardians of Consistency?”, European Data Protection Law Review, Nr. 3 (2016), 352. lpp.; autori uzraudzības iestādes uzskata par galvenajām indivīdu tiesību nodrošinātājām, ņemot vērā to būtisko nozīmi ar VDAR paredzēto datu aizsardzības normu uzraudzībā un piemērošanā. Viņi uzsver, ka ir svarīgi nodrošināt šīs iestādes ar pietiekamiem resursiem gan personāla, gan finanšu ziņā, lai tās varētu efektīvi pildīt savus uzdevumus.
33 Skat. spriedumu, 2025. gada 9. janvāris, Österreichische Datenschutzbehörde (Pārmērīgi pieprasījumi) (C‑416/23, EU:C:2025:3, 40. punkts).
34 Skat. spriedumu, 2022. gada 1. augusts, Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, 85. punkts).
35 Skat. spriedumu, 2022. gada 24. februāris, Valsts ieņēmumu dienests (Personas datu apstrāde nodokļu jomā) (C‑175/20, EU:C:2022:124, 56. punkts).
36 Šajā saistībā skat. EDAK 2021. gada 13. oktobra Guidelines 10/2020 on restrictions under Article 23 GDPR (version 2.1), 65.–67. un 82. punkts; šajos punktos ir ieteikts uz laiku ierobežot datu subjektu tiesību izmantošanu, lai neapdraudētu administratīvo izmeklēšanu.
37 Skat. spriedumus, 2014. gada 8. aprīlis, Digital Rights Ireland u.c. (C‑293/12 un C‑594/12, EU:C:2014:238, 38. punkts), 2015. gada 6. oktobris, Schrems (C‑362/14, EU:C:2015:650, 94. punkts), 2020. gada 16. jūlijs, Facebook Ireland un Schrems (C‑311/18, EU:C:2020:559, 174. punkts), un 2020. gada 6. oktobris, La Quadrature du Net u.c. (C‑511/18, C‑512/18 un C‑520/18, EU:C:2020:791, 121. punkts).
38 Tiesa savā pastāvīgajā judikatūrā ir atgādinājusi šo mērķi un uzsvērusi, ka personas datu aizsardzība ir garantēta gan ar LESD 16. pantu, gan ar Hartas 8. pantu un tādējādi šīs tiesības ir nostiprinātas divās Savienības primāro tiesību normās (skat. spriedumu, 2023. gada 12. janvāris, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, 43. punkts).
39 Skat. spriedumu, 2023. gada 22. jūnijs, Pankki S (C‑579/21, EU:C:2023:501, 53. un nākamie punkti).
40 Skat. spriedumu, 2023. gada 4. maijs, Österreichische Datenschutzbehörde un CRIF (C‑487/21, EU:C:2023:369, 44. punkts).
41 Skat. šo secinājumu 59. un nākamos punktus.
42 Skat. spriedumu, 2023. gada 12. janvāris, Österreichische Post (Informācija par personas datu saņēmējiem) (C‑154/21, EU:C:2023:3, 49. punkts). Kā Tiesa ir uzsvērusi, pārzinim ir jāpierāda piekļuves pieprasījuma acīmredzamā nepamatotība vai pārmērīgums VDAR 12. panta 5. punkta izpratnē.
43 Šajā saistībā skat. Eiropas Savienības Pamattiesību aģentūras (FRA) dokumentu GDPR in practice – Experiences of Data Protection Authorities, Luksemburga, 2024. gada 11. jūnijs, 21. lpp.; dokumentā uzraudzības iestāžu resursu pieejamība vairāku gadu laikā ir raksturota kā “lielākoties nepietiekama”. Kad Komisija bija veikusi sākotnējo novērtējumu par VDAR piemērošanu, Eiropas Parlaments pieņēma rezolūciju, kurā aicināja dalībvalstis ievērot VDAR 52. panta 4. punktā paredzēto pienākumu nodrošināt savām uzraudzības iestādēm pietiekamus resursus, lai tās varētu pēc iespējas labāk veikt savus uzdevumus un garantētu vienlīdzīgus VDAR piemērošanas nosacījumus visā Eiropā.