1

SEUT 263, SEUT 265 ja SEUT 268 artiklaan perustuvalla kanteellaan kantaja eli Thomas Bindl vaatii unionin yleistä tuomioistuinta ensinnäkin kumoamaan hänen henkilötietojensa siirrot kolmansiin maihin, joissa tietosuojan taso ei ole riittävä, toiseksi toteamaan, että Euroopan komissio pidättyi lainvastaisesti ottamasta kantaa hänen 1.4.2022 tekemäänsä tietojensaantipyyntöön, ja kolmanneksi korvaamaan aineettoman vahingon, joka hänelle aiheutui yhtäältä siitä, että hänen tiedonsaantioikeuttaan loukattiin, ja toisaalta siitä, että hänen henkilötietojaan siirrettiin.

Asian tausta ja kanteen nostamisen jälkeiset tosiseikat

2

Kantaja on Saksan kansalainen, joka on kiinnostunut tietotekniikan ja henkilötietojen suojan aloihin kuuluvista aiheista.

3

Komission viestinnän pääosasto toimii rekisterinpitäjänä, kun on kyse henkilötietojen käsittelystä Euroopan tulevaisuuskonferenssin internetsivustolla osoitteessa https://futureu.europa.eu (jäljempänä tulevaisuuskonferenssin internetsivusto).

4

Kantaja vieraili useaan otteeseen tulevaisuuskonferenssin internetsivustolla vuosina 2021 ja 2022. Hän vieraili kyseisellä internetsivustolla muun muassa 30.3.2022 ja ilmoittautui sivustolla mainittuun GoGreen-tapahtumaan Facebook-tilinsä avulla ja 8.6.2022 hän vieraili uudelleen kyseisellä internetsivustolla.

5

Kantaja pyysi 9.11.2021 lähettämällään sähköpostilla (jäljempänä 9.11.2021 tehty tietojensaantipyyntö) komission tietosuojavastaavaa antamaan hänelle tietoja luonnollisten henkilöiden suojelusta unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta sekä asetuksen (EY) N:o 45/2001 ja päätöksen N:o 1247/2002/EY kumoamisesta 23.10.2018 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1725 (EUVL 2018, L 295, s. 39) nojalla.

6

Kyseisessä sähköpostissa kantaja ensinnäkin totesi huomanneensa, että hänen kirjautuessaan tulevaisuuskonferenssin internetsivustolle aktivoitiin yhteys kolmansiin palveluntarjoajiin – esimerkiksi amerikkalaisyritys Amazon Web Servicesiin –, toiseksi hän tiedusteli, mitä häntä koskevia henkilötietoja oli käsitelty tai tallennettu ja mitä oli mahdollisesti siirretty kolmansille, ja kolmanneksi hän pyysi tietoja tällaisen siirron oikeusperustasta sekä siirtoa kolmansiin maihin, joissa tietosuojan taso ei ole riittävä, koskevien mahdollisten suojatoimien olemassaolosta.

7

Komission viestinnän pääosasto toimitti kantajalle 3.12.2021 lähettämällään sähköpostilla sähköisen linkin ja ilmoitti tälle, että kyseisen linkin avulla hän voisi luoda suoraan luettelon henkilötiedoista, joita oli käsitelty hänen vieraillessaan tulevaisuuskonferenssin internetsivustolla. Se totesi kantajalle myös yhtäältä, että tämän henkilötietoja ei ollut siirretty Euroopan unionin ulkopuolella sijaitseville vastaanottajille, ja toisaalta, että tulevaisuuskonferenssin internetsivusto oli tallentanut ne ja käsitellyt niitä ja että kyseinen sivusto käyttää Luxemburgiin (Luxemburg) sijoittautuneen Amazon Web Services EMEA SARL:n (jäljempänä AWS EMEA) hallinnoimaa sisällönjakeluverkkoa. Se täsmensi myös, että komission ja AWS EMEAn välisten sopimusjärjestelyjen puitteissa rekisterinpitäjä ei käyttänyt palveluja, jotka edellyttivät tietojen siirtoa AWS EMEAn Yhdysvaltoihin sijoittautuneille kumppaneille ja että tietojen siirtoon unionin ulkopuolelle ei lähtökohtaisesti ollut annettu lupaa.

8

[Sellaisena kuin se on oikaistuna 3.6.2025 annetulla määräyksellä] Kantaja pyysi 1.4.2022 lähettämällään sähköpostilla komissiolta asetuksen 2018/1725 nojalla tietoja tietojensa käsittelystä (jäljempänä 1.4.2022 tehty tietojensaantipyyntö). Hän totesi ensinnäkin huomanneensa, että hänen kirjautuessaan tulevaisuuskonferenssin internetsivustolle muodostettiin yhteys AWS EMEAn kaltaisten kolmansien palveluntarjoajien kanssa ja että Meta Platforms-yritykseen muodostettiin yhteys, kun hän käytti Facebookin kirjautumistietojaan kyseiselle internetsivustolle kirjautuakseen. Hän tiedusteli toiseksi, mitä häntä koskevia henkilötietoja oli käsitelty tai tallennettu ja mitä tietoja oli mahdollisesti siirretty kolmansille. Hän pyysi kolmanneksi tietoja tällaisen siirron oikeusperustasta ja sellaisten mahdollisten suojatoimien olemassaolosta, jotka koskivat siirtoa kolmansiin maihin, joissa tietosuojan taso ei ole riittävä. Hän pyysi neljänneksi jäljennöstä kyseisistä tiedoista sellaiset tiedot mukaan lukien, joita Facebookin kaltainen kolmas oli tallentanut tai käsitellyt.

9

Kantaja vaati 22.4. ja 2.5.2022 lähettämillään sähköposteilla, että komissio vastaa 1.4.2022 tehtyyn tietojensaantipyyntöön.

10

Kantaja nosti nyt käsiteltävän kanteen unionin yleisen tuomioistuimen kirjaamoon 9.6.2022 toimittamallaan kannekirjelmällä.

11

Komissio ilmoitti kantajalle 30.6.2022 lähettämällään sähköpostilla katsovansa, että 1.4.2022 tehty tietojensaantipyyntö oli lähes identtinen 9.11.2021 tehdyn tietojensaantipyynnön kanssa ja että se oli jo vastannut viimeksi mainittuun 3.12.2021 lähettämällään sähköpostilla.

12

Amazon Web Services on Yhdysvaltoihin ja AWS EMEA Luxemburgiin sijoittautunut yritys. Kyseiset kaksi yritystä ovat Yhdysvaltojen oikeuden mukaan perustetun yrityksen Amazon.com, Inc:n tytäryhtiöitä.

Asianosaisten vaatimukset

13

Kantaja vaatii, että unionin yleinen tuomioistuin

–

kumoaa hänen henkilötietojensa 30.3. ja 8.6.2022 tapahtuneet siirrot kolmansiin maihin, joissa tietosuojan taso ei ole riittävä

–

toteaa, että komissio pidättyi lainvastaisesti ottamasta kantaa 1.4.2022 tehtyyn tietojensaantipyyntöön

–

velvoittaa komission maksamaan hänelle 1200 euron suuruisen summan korkoineen eli yhtäältä 800 euron määrän sen aineettoman vahingon korvaamiseksi, joka aiheutui siitä, että hänen tiedonsaantioikeuttaan loukattiin, ja toisaalta 400 euron määrän sen aineettoman vahingon korvaamiseksi, joka aiheutui hänen tietojensa edellä mainituista siirroista

–

velvoittaa komission korvaamaan oikeudenkäyntikulut.

14

Komissio vaatii, että unionin yleinen tuomioistuin

–

jättää tutkimatta kumoamisvaatimukset ja laiminlyöntiin perustuvat vaatimukset

–

toissijaisesti toteaa, että lausunnon antaminen laiminlyöntiin perustuvista vaatimuksista raukeaa

–

hylkää vahingonkorvausvaatimukset perusteettomina

–

velvoittaa kantajan korvaamaan oikeudenkäyntikulut.

Oikeudellinen arviointi

Henkilötietojen suojaa unionin toimielimissä, elimissä ja laitoksissa koskevia alustavia huomautuksia

15

SEUT 16 artiklan 1 kohdassa ja Euroopan unionin perusoikeuskirjan (jäljempänä perusoikeuskirja) 8 artiklan 1 kohdassa määrätään, että jokaisella on oikeus henkilötietojensa suojaan.

16

Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetussa Euroopan parlamentin ja neuvoston asetuksessa (EU) 2016/679 (yleinen tietosuoja-asetus) (EUVL 2016, L 119, s. 1) määritellään yleiset säännöt, joilla pyritään suojelemaan luonnollisia henkilöitä henkilötietojen käsittelyssä ja takaamaan kyseisten tietojen vapaa liikkuvuus (asetuksen 2016/679 1 artiklan 1 kohta).

17

Asetuksessa 2018/1725 vahvistetaan säännöt luonnollisten henkilöiden suojelulle unionin toimielinten ja elinten suorittamassa henkilötietojen käsittelyssä sekä säännöt, jotka koskevat henkilötietojen vapaata liikkuvuutta näiden välillä tai muille unioniin sijoittautuneille vastaanottajille (asetuksen 2018/1725 1 artiklan 1 kohta). Kyseisellä asetuksella suojellaan luonnollisten henkilöiden perusoikeuksia ja ‑vapauksia ja erityisesti heidän oikeuttaan henkilötietojen suojaan (asetuksen 2018/1725 1 artiklan 2 kohta). Sitä sovelletaan kaikkien unionin toimielinten ja elinten suorittamaan henkilötietojen käsittelyyn (asetuksen 2018/1725 2 artiklan 1 kohta).

18

Asetuksen 2018/1725 johdanto-osan viidennessä perustelukappaleessa palautetaan mieleen, että unionin tuomioistuimen oikeuskäytännön mukaisesti on niin, että aina, kun asetuksen 2018/1725 säännökset ovat periaatteellisesti yhteneväiset asetuksen 2016/679 säännösten kanssa, näitä kahta säännöstöä olisi tulkittava yhteneväisesti, erityisesti siksi, että asetuksen 2018/1725 rakenne olisi ymmärrettävä asetuksen 2016/679 rakennetta vastaavaksi. Tämän osalta asetuksen 2016/679 2 artiklan 3 kohdasta ja asetuksen 2018/1725 99 artiklasta yhdessä tarkasteltuina ilmenee edelleen, että viimeksi mainittu asetus on mukautettu asetuksen 2016/679 periaatteiden ja sääntöjen mukaisiksi.

Tutkittavaksi ottaminen

Kumoamisvaatimusten tutkittavaksi ottaminen

19

Ensimmäisellä vaatimuksellaan kantaja vaatii henkilötietojensa 30.3. ja 8.6.2022 kolmansiin maihin, joissa tietosuojan taso ei ole riittävä, hänen mukaansa tapahtuneiden siirtojen (jäljempänä riidanalaiset siirrot) kumoamista.

20

Vastineessaan komissio väittää, että kyseinen kumoamisvaatimus on jätettävä tutkimatta, koska sitä ei ole kohdistettu SEUT 263 artiklassa tarkoitettuun kannekelpoiseen toimeen vaan sillä pyritään siihen, että komissio velvoitetaan toimimaan.

21

Kantaja väittää, että kumoamisvaatimus täyttää tutkittavaksi ottamisen edellytykset, ja vetoaa siihen, että riidanalaiset siirrot ovat toimia, joilla on sitovia oikeusvaikutuksia ja jotka vaikuttavat hänen oikeudelliseen asemaansa, koska niillä loukataan hänen perusoikeuskirjan 8 artiklassa taattua perusoikeuttaan henkilötietojen suojaan. Muunlainen tulkinta olisi kantajan mukaan ristiriidassa tehokasta oikeussuojaa koskevan perusoikeuden kanssa, ja kyseinen oikeus tunnustetaan nimenomaisesti asetuksen 2018/1725 64 artiklan 1 kohdassa.

22

Kuten asetuksen 2018/1725 64 artiklan 1 kohdassa ja sen johdanto-osan 79 perustelukappaleessa muistutetaan, jokaisella on oikeus tehokkaisiin oikeussuojakeinoihin Euroopan unionin tuomioistuimessa perussopimusten mukaisesti, jos hän katsoo, että hänen kyseiseen asetukseen perustuvia oikeuksiaan on loukattu.

23

Tästä seuraa, että asetuksen 2018/1725 yhteydessä jokaisella, jota asia koskee, on oikeus muun muassa nostaa kumoamiskanne SEUT 263 artiklassa määrätyin edellytyksin.

24

Vakiintuneen oikeuskäytännön mukaan SEUT 263 artiklassa määrätty kumoamiskanne voidaan nostaa kaikista toimielinten toimista, joiden tarkoituksena on saada aikaan sitovia oikeusvaikutuksia, jotka voivat vaikuttaa kantajan etuihin muuttaen tämän oikeusasemaa selvästi, niiden muodosta riippumatta (ks. tuomio 19.1.2017, komissio v. Total ja Elf Aquitaine, C‑351/15 P, EU:C:2017:27, 35 ja 36 kohta oikeuskäytäntöviittauksineen ja tuomio 16.7.2020, Inclusion Alliance for Europe v. komissio, C‑378/16 P, EU:C:2020:575, 71 kohta oikeuskäytäntöviittauksineen).

25

Sen määrittämiseksi, onko toimella sitovia oikeusvaikutuksia, on unionin tuomioistuimen vakiintuneen oikeuskäytännön mukaan tarkasteltava toimen sisältöä ja arvioitava sen vaikutuksia objektiivisten arviointiperusteiden, kuten toimen sisällön, perusteella ja siten, että huomioon otetaan tarvittaessa toimen toteuttamisen asiayhteys ja toimen toteuttaneen toimielimen, elimen tai laitoksen toimivalta (ks. tuomio 15.7.2021, FBF, C‑911/19, EU:C:2021:599, 38 kohta oikeuskäytäntöviittauksineen).

26

Käsiteltävässä asiassa kantaja vaatii – hänen mukaansa kolmeen otteeseen tapahtuneiden – riidanalaisten siirtojen kumoamista. Ensinnäkin hänen vieraillessaan tulevaisuuskonferenssin internetsivustolla 30.3.2022 (jäljempänä riidanalainen siirto vierailtaessa tulevaisuuskonferenssin internetsivustolla 30.3.2022) hänen henkilötietojaan – muun muassa hänen IP-osoitteensa sekä tietoja hänen verkkoselaimestaan ja tietokonepäätteestään – siirrettiin hänen mukaansa yhdysvaltalaisyritys Amazon Web Servicesille tämän Amazon CloudFrontiksi nimetyn sisällönjakeluverkon, jota kyseinen internetsivusto käyttää, operaattorin ominaisuudessa.

27

Toiseksi kantajan kirjautuessa 30.3.2022 komission EU Login ‑käyttäjäntodentamispalveluun Facebook-tilinsä avulla, jotta hän voisi ilmoittautua GoGreen-tapahtumaan tulevaisuuskonferenssin internetsivustolla (jäljempänä riidanalainen siirto kirjauduttaessa EU Loginiin 30.3.2022), hänen henkilötietojaan – muun muassa hänen IP-osoitteensa sekä tietoja hänen verkkoselaimestaan ja tietokonepäätteestään – siirrettiin hänen mukaansa yhdysvaltalaisyritys Meta Platforms, Inc:lle.

28

Kolmanneksi kantajan vieraillessa tulevaisuuskonferenssin internetsivustolla 8.6.2022 (jäljempänä riidanalainen siirto vierailtaessa tulevaisuuskonferenssin internetsivustolla 8.6.2022) hänen henkilötietojaan siirrettiin hänen mukaansa Amazon CloudFrontin palvelimelle, joka sijaitsee Newarkissa (New Jersey, Yhdysvallat).

29

Kantaja mainitsee kannekirjelmässään myös, että hän vieraili tulevaisuuskonferenssin internetsivustolla 9.11.2021 ja että hän kirjautui kyseisenä päivänä tulevaisuuskonferenssin internetsivustolle Facebook-tilinsä avulla. Hän ei kuitenkaan vetoa mihinkään konkreettiseen seikkaan, jonka perusteella voitaisiin päätellä, että hänen riidanalaisten siirtojen kumoamisvaatimuksensa koskisi näitä seikkoja. On siis otettava huomioon yksinomaan edellä 26–28 kohdassa mainitut riidanalaiset siirrot.

30

On todettava, että riidanalaiset siirrot, joiden kumoamista kantaja vaatii ja jotka mainitaan edellä 26–28 kohdassa, ovat kantajan itsensä mukaan tietojen siirtoa koskevia tietojenkäsittelytoimia, jotka käynnistettiin komission tietojärjestelmistä tai ‑palveluista – ja erityisesti tulevaisuuskonferenssin internetsivustolta – ja joilla siirrettiin kantajan tietoa unionin alueen ulkopuolelle sijoittautuneille kolmansille yrityksille kuuluville palvelimille.

31

On toki totta, että toimessa, joka muodostuu henkilötietojen siirrosta unionin toimielimestä tai elimestä kolmanteen maahan, on sellaisenaan kyse asetuksen 2018/1725 3 artiklan 3 alakohdassa tarkoitetusta henkilötietojen käsittelystä, joka suoritetaan unionin alueella ja johon kyseistä asetusta sen 2 artiklan 5 kohdan nojalla sovelletaan (ks. analogisesti tuomio 16.7.2020, Facebook Ireland ja Schrems, C‑311/18, jäljempänä Schrems II ‑tuomio, EU:C:2020:559, 83 kohta).

32

Kaikki toimet, jotka voivat johtaa asetuksen 2018/1725 3 artiklan 3 alakohdassa tarkoitettuun henkilötietojen siirtoon, eivät kuitenkaan ole SEUT 263 artiklassa, sellaisina kuin sitä on edellä 24 kohdassa mieleen palautetussa oikeuskäytännössä tulkittu, tarkoitettuja kannekelpoisia toimia.

33

Käsiteltävässä asiassa on niin, että jos riidanalaiset siirrot näytetään toteen, on todettava, että ne ovat reaalitoimia eivätkä oikeustoimia. Kannekirjelmässä kuvaillun kaltaiset riidanalaiset siirrot ovat nimittäin tietojen siirtämistä tietokonepäätteeltä tai palvelimelta toiselle koskevia tietojenkäsittelytoimia, jotka perustuvat kantajan ja komission tietojärjestelmien tai ‑palvelujen vuorovaikutukseen kantajan vieraillessa tulevaisuuskonferenssin internetsivustolla tai EU Login ‑palvelussa. Riidanalaiset siirrot eivät sen sijaan ole komission toimia, joilla on sitovia oikeusvaikutuksia, eli niillä ei pyritä sääntelemään oikeusasemaa eikä – kuten niiden luonteesta ilmenee – komissio ole mitenkään aikonut antaa niille tällaisia vaikutuksia.

34

Riidanalaisilla siirroilla ei näin ollen voida tuottaa sitovia oikeusvaikutuksia, jotka voivat vaikuttaa kantajan etuihin muuttaen tämän oikeusasemaa selvästi edellä 24 kohdassa mieleen palautetun oikeuskäytännön mukaisesti. Niitä ei näin ollen voida pitää SEUT 263 artiklassa tarkoitettuina kannekelpoisina toimina.

35

Tästä seuraa, että kantajan kumoamisvaatimukset on jätettävä tutkimatta.

Laiminlyöntiin perustuvien vaatimusten tutkittavaksi ottaminen

36

Toisella vaatimuksellaan kantaja vaatii unionin yleistä tuomioistuinta toteamaan, että komissio pidättyi lainvastaisesti ottamasta kantaa 1.4.2022 tehtyyn tietojensaantipyyntöön.

37

Vastineessaan komissio väittää, että tämä laiminlyöntiin perustuva vaatimus on jätettävä tutkimatta SEUT 265 artiklan toisessa kohdassa tarkoitetun toimintakehotuksen puuttumisen vuoksi. Komissio väittää toissijaisesti, että lausunnon antaminen laiminlyöntiin perustuvasta vaatimuksesta on rauennut, kun otetaan huomioon sen kantajalle sähköpostitse 30.6.2022 antama vastaus.

38

Kantaja väittää lähinnä, että komission on yhä vastattava 1.4.2022 tehtyyn tietojensaantipyyntöön, koska komission sähköpostitse 30.6.2022 toimittamat tiedot ovat riittämättömät ja virheelliset.

39

Vakiintuneen oikeuskäytännön mukaan SEUT 265 artiklassa määrätty oikeussuojakeino perustuu siihen ajatukseen, että kyseessä olevan toimielimen pidättyessä lainvastaisesti toimimasta asia voidaan saattaa unionin tuomioistuinten käsiteltäväksi, jotta nämä toteavat, että toimimasta pidättyminen on perussopimuksen vastaista, silloin, kun kyseinen toimielin ei ole korjannut tätä toimimasta pidättymistään (tuomio 12.7.1988, parlamentti v. neuvosto, 377/87, EU:C:1988:387, 9 kohta; ks. myös tuomio 16.12.2015, Ruotsi v. komissio, T‑521/14, ei julkaistu, EU:T:2015:976, 33 kohta oikeuskäytäntöviittauksineen).

40

Siinä tapauksessa, että toimi, jonka laiminlyönti on riidan kohteena, on toteutettu kanteen nostamisen jälkeen mutta ennen tuomion julistamista, unionin tuomioistuinten toteamus alkuperäisen toimimattomuuden lainvastaisuudesta ei voi enää johtaa perussopimuksen 266 artiklassa tarkoitettuihin seurauksiin. Tästä seuraa, että tällaisessa tapauksessa kanne on jäänyt vaille kohdetta, jolloin lausunnon antamiseen ei ole enää aihetta (tuomio 12.7.1988, parlamentti v. neuvosto, 377/87, EU:C:1988:387, 10 ja 11 kohta; ks. myös määräys 13.12.2000, Sodima v. komissio, C‑44/00 P, EU:C:2000:686, 83 kohta oikeuskäytäntöviittauksineen).

41

Käsiteltävässä asiassa on todettava, että komissio vastasi 1.4.2022 tehtyyn tietojensaantipyyntöön 30.6.2022 lähettämällään sähköpostilla (ks. edellä 11 kohta). Komissio siis päätti kantajan tämän kanteen yhteydessä tapahtuneeksi väittämän laiminlyönnin kanteen nostamisen jälkeen. Toinen vaatimus, jolla unionin yleistä tuomioistuinta vaaditaan toteamaan SEUT 265 artiklan perusteella, että komissio on syyllistynyt laiminlyöntiin, koska se ei ole vastannut 1.4.2022 tehtyyn tietojensaantipyyntöön, on siis jäänyt vaille kohdetta.

42

Sillä, että komission 30.6.2022 lähetettämän sähköpostin sisältö ei ole kantajan toivoman vastauksen mukainen, ei tämän osalta ole merkitystä. On nimittäin tältä osin merkityksetöntä, että tämä toimielimen kannan määrittely ei tyydytä kantajaa, koska SEUT 265 artiklassa tarkoitetaan laiminlyönnillä pidättymistä asian ratkaisemisesta taikka kannan määrittelemisestä eikä sellaisen toimen toteuttamista, joka on muu kuin se, mitä kyseinen asianosainen olisi toivonut tai pitänyt tarpeellisena (ks. määräys 6.4.2017, Brancheforeningen for Regulerkraft i Danmark v. komissio, T‑203/16, ei julkaistu, EU:T:2017:279, 22 kohta oikeuskäytäntöviittauksineen.).

43

Tästä seuraa, että lausunnon antamiseen laiminlyöntiin perustuvista kantajan vaatimuksista ei ole enää aihetta eikä komission esittämästä kyseisten vaatimusten tutkimatta jättämisestä ole tarpeen lausua.

Vahingonkorvausvaatimukset

44

Kantaja esittää kolmannella vaatimuksellaan kaksi vahingonkorvausvaatimusta. Hän vaatii ensinnäkin 800 euron maksamista korvauksena aineettomasta vahingosta, jonka hän väittää itselleen aiheutuneen, koska komissio ei asetuksen 2018/1725 14 artiklan 3 ja 4 kohdan ja 17 artiklan 1 ja 2 kohdan ja kyseisen asetuksen 4 artiklan 1 kohdan a alakohdassa säädetyn läpinäkyvyysperiaatteen vastaisesti kunnioittanut hänen tiedonsaantioikeuttaan. Hän vaatii toiseksi 400 euron maksamista korvauksena aineettomasta vahingosta, jonka hän väittää itselleen aiheutuneen niiden riidanalaisten siirtojen vuoksi, jotka toteutettiin asetuksen 2018/172 46 artiklan sekä 48 artiklan 1 kohdan ja 2 kohdan b alakohdan vastaisesti.

45

Komissio vaatii vahingonkorvausvaatimusten hylkäämistä.

Alustavia huomautuksia sopimussuhteen ulkopuolisen unionin vastuun syntymisestä asetuksen 2018/1725 yhteydessä

46

Asetuksen 2018/1725 65 artiklassa säädetään, että jos henkilölle aiheutuu asetuksen rikkomisesta aineellista tai aineetonta vahinkoa, hänellä on oikeus saada unionin toimielimeltä tai elimeltä korvaus aiheutuneesta vahingosta ”perussopimuksessa määrättyjen edellytysten mukaisesti”.

47

Kyseistä asetuksen 2018/1725 65 artiklaa on tulkittava siten, että siinä säädetään oikeudesta saada unionin toimielimeltä tai elimeltä korvaus vahingosta, joka on aiheutunut kyseisen asetuksen rikkomisesta, SEUT 340 artiklan toisessa kohdassa säädetyin edellytyksin, ja kyseisen kohdan mukaan unioni korvaa toimielintensä ja henkilöstönsä tehtäviään suorittaessaan aiheuttaman vahingon jäsenvaltioiden lainsäädäntöjen yhteisten yleisten periaatteiden mukaisesti.

48

Vakiintuneen oikeuskäytännön mukaan sopimussuhteen ulkopuolisen unionin vastuun syntyminen edellyttää kolmen kumulatiivisen edellytyksen täyttymistä: unionin toimielinten moitittu menettely on lainvastaista, vahinko on tosiasiallisesti syntynyt ja kyseisen menettelyn ja väitetyn vahingon välillä on syy-yhteys (ks. vastaavasti tuomio 4.7.2000, Bergaderm ja Goupil v. komissio, C‑352/98 P, EU:C:2000:361, 39–42 kohta ja tuomio 28.10.2021, Vialto Consulting v. komissio, C‑650/19 P, EU:C:2021:879, 138 kohta).

49

Kyseisten edellytysten kumulatiivisuus merkitsee sitä, että jos yksi näistä edellytyksistä jää täyttymättä, vahingonkorvauskanne on kokonaisuudessaan hylättävä, eikä ole tarpeen tutkia muita edellytyksiä (tuomio 9.9.1999, Lucaccioni v. komissio, C‑257/98 P, EU:C:1999:402, 14 ja 63 kohta; ks. myös tuomio 25.2.2021, Dalli v. komissio, C‑615/19 P, EU:C:2021:133, 42 kohta oikeuskäytäntöviittauksineen).

50

Näistä edellytyksistä ensimmäisen osalta oikeuskäytännössä edellytetään, että näytetään toteen sellaisen oikeussäännön, jolla on tarkoitus antaa yksityisille oikeuksia, riittävän ilmeinen rikkominen (ks. tuomio 4.7.2000, Bergaderm ja Goupil v. komissio, C‑352/98 P, EU:C:2000:361, 42 kohta oikeuskäytäntöviittauksineen).

51

Tällä unionin oikeuden riittävän ilmeistä rikkomista koskevalla edellytyksellä pyritään kyseisen lainvastaisen toimen luonteesta riippumatta välttämään se, että uhka siitä, että kyseessä oleva toimielin saattaisi joutua vastaamaan vahingoista, joihin asianomaiset henkilöt vetoavat, estää kyseistä toimielintä käyttämästä täysimääräisesti toimivaltaansa yleisen edun mukaisesti sekä normatiivisessa toiminnassaan tai talouspoliittisia valintoja sisältävässä toiminnassaan että hallinnollisen toimivaltansa alalla, kuitenkin siten, etteivät räikeiden ja anteeksiantamattomien laiminlyöntien seuraukset jäisi yksityisten vastattaviksi (ks. vastaavasti tuomio 14.12.2018, East West Consulting v. komissio, T‑298/16, EU:C:2018:967, 124 kohta oikeuskäytäntöviittauksineen).

52

Ratkaiseva peruste rikkomisen luonnehtimiseksi riittävän ilmeiseksi on unionin asianomaisen toimielimen tai elimen harkintavallalle asetettujen rajojen ilmeinen ja vakava ylittäminen. Jos kyseessä olevalla toimielimellä tai elimellä on harkintavaltaa vain hyvin vähän tai ei ollenkaan, jo pelkän unionin oikeuden rikkomisen voidaan katsoa olevan riittävän ilmeinen rikkominen (ks. tuomio 10.12.2002, komissio v. Camar ja Tico, C‑312/00 P, EU:C:2002:736, 54 kohta oikeuskäytäntöviittauksineen). Oikeuskäytännössä ei kuitenkaan vahvisteta mitään automaattista yhteyttä yhtäältä sen, että asianomaisella toimielimellä ei ole harkintavaltaa, ja toisaalta sen välillä, että rikkominen luonnehditaan unionin oikeuden riittävän ilmeiseksi rikkomiseksi (ks. tuomio 3.3.2010, Artegodan v. komissio, T‑429/05, EU:T:2010:60, 59 kohta). Vaikka asianomaisen toimielimen harkintavallan laajuus on ratkaiseva peruste, se ei nimittäin ole yksinomainen peruste. Unionin tuomioistuin on todennut tästä toistuvasti, että sen SEUT 340 artiklan toisen kohdan perusteella kehittämässä järjestelmässä otetaan lisäksi muun muassa huomioon säänneltävien tilanteiden monitahoisuus ja lainsäädännön soveltamis- tai tulkintavaikeudet (ks. tuomio 23.11.2011, Sison v. neuvosto, T‑341/07, EU:T:2011:687, 36 ja 37 kohta oikeuskäytäntöviittauksineen) tai, yleisemmin, se ala, ne edellytykset taikka se asiayhteys, joissa noudattamatta jätetty sääntö koskee unionin asianomaista toimielintä tai elintä (ks. tuomio 4.4.2017, Oikeusasiamies v. Staelen, C‑337/15 P, EU:C:2017:256, 40 kohta oikeuskäytäntöviittauksineen).

53

Tästä seuraa, että unionin vastuu voi syntyä pelkästään sen perusteella, että toimielimen todetaan syyllistyneen sääntöjenvastaisuuteen, jollaista tavanomaisesti varovainen ja huolellinen viranomainen ei olisi vastaavissa olosuhteissa tehnyt. Unionin tuomioistuimien tehtävänä on siis sen jälkeen, kun ne ovat ensin selvittäneet, oliko asianomaisella toimielimellä harkintavaltaa, ottaa huomioon säänneltävän tilanteen monitahoisuus, lainsäädännön soveltamis- tai tulkintavaikeudet, rikotun oikeusnormin selkeys ja täsmällisyys sekä virheen tahallisuus tai anteeksiantamattomuus (tuomio 3.3.2010, Artegodan v. komissio, T‑429/05, EU:T:2010:60, 62 kohta).

54

Vahingon tosiasiallista syntymistä koskevan edellytyksen osalta on niin, että vahingon on oltava todellinen ja varma, mikä kantajan on näytettävä (ks. tuomio 9.11.2006, Agraz ym. v. komissio, C‑243/05 P, EU:C:2006:708, 27 kohta oikeuskäytäntöviittauksineen). Täysin hypoteettinen ja määrittelemätön vahinko sen sijaan ei anna oikeutta vahingonkorvaukseen (ks. tuomio 26.10.2011, Dufour v. EKP, T‑436/09, EU:T:2011:634, 192 kohta oikeuskäytäntöviittauksineen).

55

Syy-yhteyttä koskeva edellytys koskee sitä, että unionin toimielimen moititun menettelyn ja vahingon välillä on riittävän suora syy-yhteys, joka kantajan on näytettävä toteen, siten, että moititun menettelyn on oltava vahingon ratkaiseva syy (tuomio 13.12.2018, Euroopan unioni v. ASPLA ja Armando Álvarez, C‑174/17 P ja C‑222/17 P, EU:C:2018:1015, 23 kohta oikeuskäytäntöviittauksineen).

56

On lisäksi muistutettava, että SEUT 340 artiklan toiseen kohtaan perustuva vahingonkorvauskanne on otettu käyttöön itsenäisenä keinona, jolla on erityinen tehtävänsä oikeussuojakeinojen järjestelmässä ja jonka käyttämisen edellytykset on laadittu sen erityistä tavoitetta silmällä pitäen, joten kumoamisvaatimuksen tutkimatta jättämisestä ei automaattisesti seuraa, että vahingonkorvausvaatimus jätetään tutkimatta (tuomio 5.9.2019, Euroopan unioni v. Guardian Europe ja Guardian Europe v. Euroopan unioni, C‑447/17 P ja C‑479/17 P, EU:C:2019:672, 49 kohta oikeuskäytäntöviittauksineen).

57

Tästä seuraa, että kumoamisvaatimuksen tutkimatta jättäminen ja laiminlyöntiin perustuvan vaatimuksen hylkääminen sen vuoksi, ettei lausunnon antamiseen siitä ole enää aihetta, tämän tuomion 35 ja 43 kohdan mukaisesti, eivät merkitse sitä, että tämän seurauksena edellä 44 kohdassa mainitut vahingonkorvausvaatimukset olisi jätettävä tutkimatta.

58

Kantajan vahingonkorvausvaatimustensa yhteydessä esittämiä moitteita on tutkittava edellä esitetyt näkemykset huomioiden.

Ensimmäinen vahingonkorvausvaatimus, joka koskee tiedonsaantioikeuden loukkaamiseen perustuvan aineettoman vahingon korvaamista

59

Ensimmäisellä vahingonkorvausvaatimuksellaan kantaja vaatii komission velvoittamista maksamaan hänelle 800 euron suuruisen summan korvauksena aineettomasta vahingosta, joka aiheutui hänen tiedonsaantioikeutensa loukkaamisesta.

60

Kantaja moittii komissiota ensinnäkin siitä, ettei tämä vastannut 1.4.2022 tehtyyn tietojensaantipyyntöön asetetussa määräajassa ja ettei tämä ilmoittanut kantajalle toimimattomuutensa syitä asetuksen 2018/1725 14 artiklan 3 ja 4 kohdan ja 17 artiklan 1 ja 2 kohdan sekä saman asetuksen 4 artiklan 1 kohdan a alakohdassa säädetyn läpinäkyvyysperiaatteen vastaisesti. Kantajan mukaan komissio ei myöskään noudattanut asetuksen 2018/1725 17 artiklan 1 kohdan c alakohtaa ja 2 kohtaa, koska tietosuojaseloste, joka on tulevaisuuskonferenssin internetsivustolla, ei hänen mukaansa sisällä tietoja, jotka koskevat henkilötietojen siirtoa kolmansiin maihin ja mahdollisia kyseistä siirtoa koskevia asianmukaisia suojatoimia, mitä asetuksen 48 artiklassa edellytetään. Komission 3.12.2021 lähettämässä sähköpostissa annettiin kantajan mukaan lisäksi virheellisiä tietoja, koska komissio kiisti kantajan henkilötietojen siirtämisen Yhdysvalloissa oleville vastaanottajille.

61

Kantaja väittää seuraavaksi, että komission moitittava toimimatta jättäminen esti häntä valvomasta henkilötietojensa käsittelyä, mikä merkitsee asetuksen 2018/1725 johdanto-osan 46 perustelukappaleessa tarkoitettua aineetonta vahinkoa. Hän väittää lopuksi, että kyseinen aineeton vahinko, jonka suuruudeksi hän arvioi 800 euroa, aiheutui välittömästi komission moitittavasta menettelystä.

62

Komissio kiistää nämä argumentit ja väittää lähinnä, että yksikään sopimussuhteen ulkopuolisen vastuun syntymisen edellytys ei käsiteltävässä asiassa täyty.

63

Edellytyksestä, joka koskee moititun menettelyn lainvastaisuutta, on ensinnäkin selvitettävä, vetosiko kantaja sellaisten oikeussääntöjen rikkomiseen, joilla on tarkoitus antaa yksityisille oikeuksia.

64

Tämän osalta on todettava, että asetuksen 2018/1725 17 artiklan 1 kohdan c alakohdassa vahvistetaan rekisteröidyn oikeus saada tutustua tietoihin, jotka koskevat vastaanottajia, joille hänen henkilötietojaan on luovutettu, ja erityisesti vastaanottajia, jotka ovat sijoittautuneet kolmansiin maihin. Kyseisessä säännöksessä siis konkretisoidaan periaate, joka vahvistetaan asetuksen 2018/1725 4 artiklan 1 kohdan a alakohdassa ja jonka mukaan henkilötietojen käsittelyyn liittyvien tietojen ja viestinnän on oltava helposti saatavilla.

65

Lisäksi asetuksen 2018/1725 14 artiklan 3 kohdassa vahvistetaan rekisterinpitäjälle kuukauden pituinen määräaika tietojensaantipyyntöihin vastaamiselle. Tämän lisäksi asetuksen 14 artiklan 4 kohdassa rekisterinpitäjä velvoitetaan tilanteessa, jossa se päättää olla toteuttamatta toimenpiteitä pyynnön perusteella, ilmoittamaan pyynnön esittäjälle kuukauden kuluessa syyt toimimatta jättämiseensä ja kertomaan mahdollisuudesta tehdä kantelu Euroopan tietosuojavaltuutetulle ja käyttää muita oikeussuojakeinoja. Kyseiset säännökset ovat siis hallinnollista menettelyä koskevia sääntöjä, joiden avulla edistetään rekisteröidyn henkilötietoja koskevan tiedonsaantioikeuden täytäntöönpanoa konkretisoimalla ja muotoamalla sitä. Kyseisillä säännöksillä edistetään myös jokaiselle perusoikeuskirjan 41 artiklan nojalla myönnettyä oikeutta siihen, että unionin toimielimet ja elimet käsittelevät hänen asiansa kohtuullisessa ajassa.

66

Asetuksen 2018/1725 4 artiklan 1 kohdan a alakohdan, 14 artiklan 3 ja 4 kohdan ja 17 artiklan 1 kohdan c alakohdan säännökset yhdessä tarkasteltuina ovat siis oikeussääntöjä, joilla on tarkoitus antaa yksityisille oikeuksia edellä 50 kohdassa mainitussa oikeuskäytännössä tarkoitetussa merkityksessä.

67

Seuraavaksi on tutkittava, onko käsiteltävässä asiassa näytetty toteen, että komissio on rikkonut kyseisiä säännöksiä.

68

Kantaja väittää yhtäältä, että komissio rikkoi asetuksen 2018/1725 17 artiklan 1 kohdan c alakohtaa ja 2 kohtaa, koska tulevaisuuskonferenssin internetsivustolla oleva tietosuojaseloste ei sisällä tietoja, jotka koskevat henkilötietojen siirtoa kolmansiin maihin sijoittautuneille vastaanottajille, mahdollisia kyseistä siirtoa koskevia asianmukaisia suojatoimia tai sopimuspuolten yksilöintiä kyseisten tietojen vastaanottajina.

69

Kuten edellä 64 kohdassa mainittiin, asetuksen 2018/1725 17 artiklan 1 kohdan c alakohdassa ja 2 kohdassa säädetään, että rekisteröidyllä on muun muassa oikeus saada tietoja kolmansiin maihin sijoittautuneista vastaanottajista, joille henkilötiedot on luovutettu, sekä asianmukaisista suojatoimista, jotka koskevat tietojen siirtoa kyseisille vastaanottajille.

70

Tästä seuraa, että kyseisissä säännöksissä vahvistetaan rekisteröidyn oikeus saada tutustua tiettyihin tietoihin, mutta siinä ei säädetä, että kyseiset tiedot on ehdottomasti esitettävä tietyssä asiakirjassa tai vieläpä tulevaisuuskonferenssin internetsivustolla olevan kaltaisessa tietosuojaselosteessa. Toisin sanoen kyseisten säännösten perusteella ei ole niin, että asianomaiset tiedot on luovutettava mainitun selosteen välityksellä. Kantajalla on kuitenkin – kaikkien rekisteröityjen tavoin – oikeus saada tällaiset tiedot käyttämällä asetuksen 2018/1725 17 artiklan 1 kohdan c alakohdassa ja 2 kohdassa vahvistettua tiedonsaantioikeuttaan, joka on kysymys, joka menee sen lainvastaisuuden ulottuvuutta pidemmälle, josta kantaja moittii komissiota ja joka rajoittuu tietosuojaselosteen sisältöön (ks. edellä 68 kohta).

71

Käsiteltävässä asiassa kannekirjelmään liitetyn tietosuojaselosteen sanamuodosta joka tapauksessa ilmenee, että se sisältää tietoja, jotka koskevat vastaanottajia tai vastaanottajaryhmiä, joille henkilötietoja on luovutettu tai luovutetaan. Näin ollen tietosuojaselosteen 7 kohdassa mainitaan muun muassa, että pääsy kyseisiin tietoihin ”annetaan [komission] valtuutetuille työntekijöille ja sen sopimuskumppaneille, joille on annettu tehtäväksi suorittaa kyseessä oleva käsittely, tiedonsaantitarpeen perusteella”. Kantajan argumentti, joka perustuu siihen, että tietosuojaselosteessa ei ole tietoja henkilötietojen siirrosta kolmansiin maihin sijoittautuneille vastaanottajille, perustuu lisäksi olettamaan siitä, että tulevaisuuskonferenssin internetsivustolla vierailu merkitsee käyttäjien henkilötietojen siirtämistä kolmansiin maihin. Käsiteltävä vahingonkorvausvaatimus perustuu kuitenkin tiedonsaantioikeuden loukkaamiseen eikä niiden säännösten rikkomiseen, jotka koskevat henkilötietojen siirtoa kolmansiin maihin, mikä on sitä paitsi toisen vahingonkorvausvaatimuksen taustalla.

72

Käsiteltävässä asiassa ei näin ollen ole osoitettu, että komissio olisi rikkonut asetuksen 2018/1725 17 artiklan 1 kohdan c alakohtaa ja 2 kohtaa tulevaisuuskonferenssin internetsivustolla olevan tietosuojaselosteen osalta.

73

Toisaalta kantaja moittii komissiota siitä, ettei tämä vastannut 1.4.2022 tehtyyn tietojensaantipyyntöön asetetussa määräajassa ja ettei tämä ilmoittanut kantajalle toimimattomuutensa syitä asetuksen 2018/1725 14 artiklan 3 ja 4 kohdan ja 17 artiklan 1 ja 2 kohdan sekä läpinäkyvyysperiaatteen vastaisesti. Kantaja väittää, että komissio antoi lisäksi hänelle virheellisiä tietoja 3.12.2021 lähetetyssä sähköpostissa.

74

Aluksi on huomattava, että kantaja ei esitä ensimmäistäkään konkreettista argumenttia läpinäkyvyysperiaatteen loukkaamisen tueksi. Tällä argumentilla ei siis ole itsenäistä sisältöä suhteessa moitteeseen, joka koskee tietojensaantipyyntöön vastaamisen määräajan noudattamatta jättämistä ja sen velvollisuuden laiminlyöntiä, jonka mukaan on ilmoitettava syyt kyseisen määräajan ylittämiselle.

75

Kantajan argumentit, jotka koskevat sitä, että asetuksen 2018/1725 17 artiklan 1 ja 2 kohtaa on rikottu, ja sitä, että komissio antoi hänelle virheellisiä tietoja 3.12.2021 lähetetyssä sähköpostissa, perustuvat lisäksi olettamaan siitä, että tulevaisuuskonferenssin internetsivustolla vierailu merkitsee käyttäjien henkilötietojen siirtoa kolmanteen maahan. Kuten edellä 71 kohdassa mainitaan, käsiteltävä vahingonkorvausvaatimus perustuu kuitenkin tiedonsaantioikeuden loukkaamiseen eikä niiden säännösten rikkomiseen, jotka koskevat henkilötietojen siirtoa kolmansiin maihin, mikä on toisen vahingonkorvausvaatimuksen taustalla.

76

Käsiteltävässä asiassa ei näin ollen ole osoitettu, että komissio olisi rikkonut asetuksen 2018/1725 17 artiklan 1 ja 2 kohtaa.

77

Kantajan moitteesta, joka koskee asetuksen 2018/1725 14 artiklan 3 ja 4 kohdan rikkomista, on todettava, että asiakirja-aineistosta ilmenee, että komissio vastasi 9.11.2021 tehtyyn tietojensaantipyyntöön asetuksen 2018/1725 14 artiklan 3 kohdassa säädetyssä kuukauden määräajassa (ks. edellä 5 ja 7 kohta). Lisäksi 1.4.2022 tehdyn tietojensaantipyynnön osalta komissio ilmoitti kantajalle 30.6.2022 lähettämällään sähköpostilla katsovansa, että 1.4.2022 tehty tietojensaantipyyntö oli lähes identtinen 9.11.2021 tehdyn tietojensaantipyynnön kanssa ja että se oli jo vastannut viimeksi mainittuun 3.12.2021 lähettämällään sähköpostilla (ks. edellä 11 kohta).

78

Tästä seuraa, että 1.4.2022 tehdyn tietojensaantipyynnön osalta komissio ei noudattanut asetuksen 2018/1725 14 artiklan 4 kohdassa säädettyä kuukauden määräaikaa (ks. edellä 65 kohta).

79

Tämän tuomion 68–78 kohdasta ilmenee, että ainoa lainvastaisuus, josta komissiota moititaan ja joka on käsiteltävässä asiassa näytetty toteen, on asetuksen 2018/1725 14 artiklan 4 kohdassa säädetyn määräajan noudattamatta jättäminen.

80

Tässä tilanteessa ja siitä riippumatta, merkitseekö se, että komissio jätti noudattamatta kyseistä määräaikaa, oikeussäännön riittävän ilmeinen rikkominen, on aluksi tutkittava sitä, aiheuttiko kyseisen määräajan noudattamatta jättäminen kantajalle edellä 54 kohdassa mieleen palautetussa oikeuskäytännössä tarkoitettua todellista ja varmaa aineetonta vahinkoa.

81

Väitetyn aineettoman vahingon syntymisen osalta on syytä huomauttaa, että vaikka todisteiden esittämistä koskevan pyynnön esittämistä ei välttämättä ole pidettävä tällaisen vahingon tunnustamisen edellytyksenä, kantajan on vähintäänkin osoitettava, että kyseisen toimielimen moitittu menettely oli sellaista, että se voi aiheuttaa kantajalle tällaista vahinkoa (tuomio 16.7.2009, SELEX Sistemi Integrati v. komissio, C‑481/07 P, ei julkaistu, EU:C:2009:461, 38 kohta; ks. myös tuomio 2.7.2019, Fulmen v. neuvosto, T‑405/15, EU:T:2019:469, 188 kohta oikeuskäytäntöviittauksineen).

82

Käsiteltävässä asiassa kantaja vaatii 800 euron suuruisen aineettoman vahingon korvaamista ja väittää, että komission moitittu menettely esti häntä valvomasta henkilötietojensa käsittelyä.

83

On kuitenkin todettava, että tällaista aineetonta vahinkoa ei käsiteltävässä asiassa ole osoitettu. Ainoa käsiteltävässä asiassa toteennäytetty lainvastaisuus on nimittäin se, että komissio ei noudattanut asetuksen 2018/1725 14 artiklan 4 kohdassa säädettyä kuukauden määräaikaa (ks. edellä 79 kohta). Määräaikaa ei kuitenkaan ylitetty yli kahdella kuukaudella (ks. edellä 77 kohta). Lisäksi 9.11.2021 tehty tietojensaantipyyntö ja 1.4.2022 tehty tietojensaantipyyntö olivat pohjimmiltaan samat (ks. edellä 5 ja 8 kohta), joten kantaja oli jo saanut vastauksen ainakin tietojensaantipyyntönsä osaan 3.12.2021, jolloin komissio vastasi 9.11.2021 tehtyyn tietojensaantipyyntöön. (ks. edellä 7 kohta).

84

Lisäksi kantajan argumentti, joka koskee virheellisten tietojen antamista (ks. edellä 75 kohta), koskee tietojen paikkansapitävyyttä eikä sen menettelysäännön noudattamatta jättämistä, jonka rikkominen vahvistettiin edellä 78 kohdassa, minkä vuoksi sillä ei ole merkitystä väitetyn aineettoman vahingon osoittamiseksi.

85

Tästä seuraa, ettei ole osoitettu, että se, että komissio ei noudattanut asetuksen 2018/1725 14 artiklan 4 kohdassa säädettyä määräaikaa, oli omiaan aiheuttamaan kantajalle väitettyä aineetonta vahinkoa.

86

Koska yksi SEUT 340 artiklan toisessa kohdassa määrätyistä kumulatiivisista edellytyksistä sopimussuhteen ulkopuolisen unionin vastuun syntymiselle ei täyty, kantajan ensimmäinen vahingonkorvausvaatimus on hylättävä.

Toinen vahingonkorvausvaatimus, joka koskee riidanalaisiin siirtoihin perustuvan aineettoman vahingon korvaamista

87

Toisella vahingonkorvausvaatimuksellaan kantaja vaatii 400 euron maksamista korvauksena aineettomasta vahingosta, jonka hän väittää itselleen aiheutuneen edellä 26–28 kohdassa mainittujen riidanalaisten siirtojen vuoksi: kyseessä olivat riidanalainen siirto vierailtaessa tulevaisuuskonferenssin internetsivustolla 30.3.2022, riidanalainen siirto kirjauduttaessa EU Loginiin 30.3.2022 ja riidanalainen siirto vierailtaessa tulevaisuuskonferenssin internetsivustolla 8.6.2022.

88

Kantaja väittää lähinnä, että riidanalaiset siirrot tehtiin Yhdysvaltoihin eli maahan, jossa tietosuojan taso ei ole riittävä, sijoittautuneille vastaanottajille. Kantajan mukaan komissio ei maininnut mitään asetuksen 2018/1725 V luvussa säädettyjä asianmukaisia suojatoimia, joilla kyseiset siirrot voitaisiin oikeuttaa, minkä vuoksi se rikkoi kyseisen asetuksen 46 artiklaa ja 48 artiklan 1 kohtaa ja 2 kohdan b alakohtaa sekä perusoikeuskirjan 7, 8 ja 47 artiklaa. Kantajan mukaan riidanalaiset siirrot aiheuttivat vaaran siitä, että kyseisen maan turvallisuus- ja tiedustelupalvelut saavat pääsyn kantajan tietoihin, minkä vuoksi ne aiheuttivat hänelle asetuksen 2018/1725 johdanto-osan 46 perustelukappaleessa tarkoitettua aineetonta vahinkoa, koska häneltä evättiin hänen oikeuksiaan ja vapauksiaan ja häntä estettiin valvomasta hänen omia tietojaan.

89

Komissio kiistää nämä argumentit ja väittää lähinnä, että sopimussuhteen ulkopuolisen vastuun syntymisen edellytykset eivät käsiteltävässä asiassa täyty.

–

Alustavia huomautuksia säännöksistä, jotka koskevat henkilötietojen siirtoa kolmanteen maahan

90

Ensiksi on huomattava, että asetuksen 2018/1725 2 artiklan 5 kohdan mukaan kyseistä asetusta sovelletaan henkilötietojen käsittelyyn, joka on osittain tai kokonaan automaattista, sekä sellaisten henkilötietojen käsittelyyn muussa kuin automaattisessa muodossa, jotka muodostavat rekisterin osan tai joiden on tarkoitus muodostaa rekisterin osa.

91

Toiseksi henkilötietojen käsitettä on tulkittava siten, että sillä tarkoitetaan – asetuksen 2018/1725 3 artiklan 1 alakohdan mukaisesti – kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön liittyviä tietoja.

92

Kolmanneksi on huomattava, että tietojen siirto muodostaa asetuksen 2018/1725 3 artiklan 3 alakohdassa tarkoitetun käsittelytoiminnon.

93

Neljänneksi on huomattava, että ”henkilötietojen siirrosta kolmansiin maihin tai kansainvälisille järjestöille” säädetään asetuksen 2018/1725 V luvussa, jossa sitä ei kuitenkaan määritellä.

94

Asetuksen 2018/1725 johdanto-osan 63 perustelukappaleesta kuitenkin ilmenee, että asetuksen V luvun säännöksissä tarkoitetut siirrot koskevat henkilötietoja, jotka siirretään unionin toimielimistä ja elimistä rekisterinpitäjille, henkilötietojen käsittelijöille tai muille vastaanottajille kolmansissa maissa tai kansainvälisille järjestöille.

95

Lisäksi asetuksen 2018/1725 systemaattisesta tulkinnasta seuraa, että sen 46 artiklassa tarkoitettu henkilötietojen siirto kolmansiin maihin edellyttää ensinnäkin sitä, että asianomainen rekisterinpitäjä kuuluu unionin toimielimeen tai elimeen ja siihen siis sovelletaan kyseistä asetusta (asetuksen 2018/1725 1 artikla), toiseksi sitä, että rekisterinpitäjä asettaa – siirtämällä tai muulla tavoin – henkilötietoja vastaanottajan eli muun muassa toisen luonnollisen henkilön tai oikeushenkilön saataville (asetuksen 2018/1725 3 artiklan 3 ja 13 alakohta), ja kolmanneksi sitä, että vastaanottaja on sijoittautunut kolmanteen maahan (asetuksen 2018/1725 46 artikla), eli maahan, joka ei ole unionin eikä Euroopan talousalueen (ETA) jäsen.

96

Viidenneksi on todettava, että asetuksen 2018/1725 V luvun säännöksillä pyritään säilyttämään unionissa taattu luonnollisten henkilöiden suojelun taso – asetuksen johdanto-osan 63 perustelukappaleessa täsmennetyn tavoitteen mukaisesti – siirrettäessä henkilötietoja kolmansiin maihin tai kansainvälisille järjestöille.

97

Kuudenneksi asetuksen 2018/1725 46 artiklassa säädetään yleisestä periaatteesta, jonka mukaan henkilötietojen siirto kolmanteen maahan tai kansainväliselle järjestölle voidaan toteuttaa vain, jos rekisterinpitäjä ja henkilötietojen käsittelijä noudattavat V luvussa vahvistettuja edellytyksiä, jollei asetuksen muista säännöksistä muuta johdu.

98

Seitsemänneksi edellytyksistä, jotka määritellään asetuksen 2018/1725 V luvussa, on huomattava, että asetuksen 47 artiklan 1 kohdassa säädetään, että henkilötietojen siirto johonkin kolmanteen maahan tai kansainväliselle järjestölle voidaan toteuttaa, jos komissio on päättänyt muun muassa asetuksen (EU) 2016/679 45 artiklan 3 kohdan mukaisesti annetulla tietosuojan riittävyyttä koskevalla päätöksellä, että kyseinen maa tai kansainvälinen järjestö varmistaa riittävän tietosuojan tason, ja jos henkilötiedot siirretään ainoastaan rekisterinpitäjän toimivaltaan kuuluvien tehtävien suorittamiseksi.

99

Tämän osalta on muistutettava, että kaksi tietosuojan riittävyyttä Yhdysvaltojen osalta koskevaa komission päätöstä on todettu pätemättömiksi. Yhtäältä 6.10.2015 antamallaan tuomiolla Schrems (C‑362/14, EU:C:2015:650) unionin tuomioistuin totesi pätemättömäksi Euroopan parlamentin ja neuvoston direktiivin 95/46/EY mukaisesti yksityisyyden suojaa koskevien safe harbor ‑periaatteiden antaman suojan riittävyydestä ja niihin liittyvistä Yhdysvaltojen kauppaministeriön julkaisemista tavallisimmista kysymyksistä 26.7.2000 tehdyn komission päätöksen 2000/520/EY (EYVL 2000, L 215, s. 7). Toisaalta Schrems II ‑tuomiolla unionin tuomioistuin totesi pätemättömäksi Euroopan parlamentin ja neuvoston direktiivin 95/46/EY nojalla EU:n ja Yhdysvaltojen välisen Privacy Shield ‑järjestelyn tarjoaman tietosuojan tason riittävyydestä 12.7.2016 tehdyn komission täytäntöönpanopäätöksen (EU) 2016/1250 (EUVL 2016, L 207, s. 1).

100

Tästä seuraa, että riidanalaisten siirtojen toteuttamispäivänä Yhdysvaltojen osalta ei ollut olemassa asetuksen 2018/1725 47 artiklassa tarkoitettua tietosuojan riittävyyttä koskevaa päätöstä.

101

Koska komissio ei ole antanut tietosuojan riittävyyttä koskevaa päätöstä Yhdysvaltojen osalta, sovelletaan asetuksen 2018/1725 48 kohdan 1 kohtaa, jonka mukaan henkilötietoja voidaan siirtää kolmanteen maahan tai kansainväliselle järjestölle vain, jos rekisterinpitäjä tai henkilötietojen käsittelijä on toteuttanut asianmukaiset suojatoimet ja jos rekisteröidyillä on täytäntöönpanokelpoisia oikeuksia ja tehokkaita oikeussuojakeinoja käytettävissään.

102

Asetuksen 2018/1725 48 artiklan 1 kohdassa tarkoitetut asianmukaiset suojatoimet, jotka luetellaan sen 48 artiklan 2 ja 3 kohdassa, voidaan antaa muun muassa tietosuojaa koskevin vakiolausekkein, jotka komissio antaa asetuksen 48 artiklan 2 kohdan b alakohdan mukaisesti.

103

Tietosuojaa koskevat vakiolausekkeet, joista asetuksen 2018/1725 48 artiklan 2 kohdan b alakohdassa säädetään, voivat kuitenkin edellyttää täydentävien toimenpiteiden toteuttamista unionin oikeuden kannalta asianmukaisen suojan tason säilyttämisen varmistamiseksi (ks. analogisesti Schrems II ‑tuomio, 133 ja 134 kohta).

104

Lisäksi asetuksen 2018/1725 48 artiklan 1 kohdassa tarkoitetut asianmukaiset suojatoimet voidaan antaa muun muassa asetuksen 48 artiklan 3 kohdan a alakohdassa säädetyin, yhtäältä rekisterinpitäjän tai henkilötietojen käsittelijän ja toisaalta kolmannen maan rekisterinpitäjän, henkilötietojen käsittelijän tai tietojen vastaanottajan välisin sopimuslausekkein, jos Euroopan tietosuojavaltuutettu antaa tähän luvan.

105

On lisäksi muistutettava, että perusoikeuskirjan 7, 8 ja 47 artiklassa vahvistetaan oikeus yksityis- ja perhe-elämän kunnioittamiseen, oikeus henkilötietojen suojaan ja oikeus tehokkaisiin oikeussuojakeinoihin ja puolueettomaan tuomioistuimeen.

106

Käsiteltävässä asiassa on huomattava aluksi, että kantajan toinen vahingonkorvausvaatimus perustuu siihen, että komissio rikkoi asetuksen 2018/1725 46 artiklan ja 48 artiklan 1 kohdan ja 2 kohdan b alakohdan sekä perusoikeuskirjan 7, 8 ja 47 artiklan säännöksiä. Tämän tuomion 91–105 kohdasta ilmenee, että asetuksen 2018/1725 kyseisillä säännöksillä konkretisoidaan perusoikeuksia, kuten niitä, jotka vahvistetaan perusoikeuskirjan 7 ja 8 artiklassa, ja niillä pyritään yhdessä tarkasteltuina varmistamaan henkilötietojen korkeatasoisen suojan jatkuvuus kyseisiä tietoja kolmansiin maihin tai kansainvälisille järjestöille siirrettäessä.

107

Tästä seuraa, että säännöksillä, joiden rikkomiseen kantaja vetoaa toisen vahingonkorvausvaatimuksensa tueksi, pyritään suojaamaan rekisteröityjen yksityistä etua, minkä vuoksi ne ovat oikeussääntöjä, joilla on tarkoitus antaa yksityisille oikeuksia edellä 50 kohdassa mieleen palautetussa oikeuskäytännössä tarkoitetussa merkityksessä.

108

Seuraavaksi on selvitettävä, täyttyvätkö sopimussuhteen ulkopuolisen komission vastuun syntymisen edellytykset jokaisen edellä 87 kohdassa mainitun kolmen riidanalaisen siirron osalta.

109

Koska edellä 26 ja 28 kohdassa mainitut riidanalaiset siirrot tapahtuivat kantajan mukaan siksi, että tulevaisuuskonferenssin internetsivusto käytti sisällönjakeluverkkoa (englanniksi ”content delivery network” tai ”CDN”) nimeltään Amazon CloudFront (jäljempänä Amazon CloudFront ‑palvelu), on ensin tutkittava kyseisen palvelun toimintaedellytyksiä mainitun internetsivuston yhteydessä.

–

Amazon CloudFront ‑palvelun toiminta tulevaisuuskonferenssin internetsivuston yhteydessä

110

Käsiteltävässä asiassa on kiistatonta, että tulevaisuuskonferenssin internetsivusto käyttää Amazon CloudFront ‑sisällönjakeluverkkoa ja että kyseinen verkko aktivoituu aina, kun käyttäjä vierailee kyseisellä internetsivustolla.

111

Asiakirja-aineistosta ja muun muassa asianosaisten vastauksista 21.7.2023 toteutettuun prosessinjohtotoimeen sekä asianosaisten 17.10.2023 pidetyssä istunnossa esittämistä suullisista lausumista ja vastauksista ilmenee, että ensinnäkin Amazon CloudFront ‑palvelu on internetpalvelu, joka nopeuttaa verkkosisältöjen – käsiteltävässä asiassa tulevaisuuskonferenssin internetsivuston sisällön – jakelua käyttäjille. Amazon CloudFront ‑palvelu jakaa sisällön palvelinten tai datakeskusten, joita kutsutaan nimellä ”edge location” tai ”edge server” (reunapalvelin), maailmanlaajuisen verkoston välityksellä.

112

Toiseksi Amazon CloudFront ‑palvelu perustuu reititysmekanismiin, joka ohjaa tulevaisuuskonferenssin internetsivuston käyttäjän pyynnön reunapalvelimelle, joka tarjoaa lyhyimmän vasteajan läheisyyttä käyttäjän tietokonepäätteen kanssa koskevan periaatteen mukaan, jotta sisältö välitettäisiin käyttäjälle parhain mahdollisin edellytyksin. Jos muun muassa teknisten vaikeuksien vuoksi reunapalvelin, jonka vasteaika on lyhin, ei ole käytettävissä, yhteys muodostetaan sen palvelimen kanssa, jonka vasteaika on toiseksi lyhin, ja niin edelleen.

113

Kolmanneksi Amazon CloudFront ‑palvelua käytetään tulevaisuuskonferenssin internetsivustolla sopimuksen nro 2020-1742 perusteella, ja komissio on allekirjoittanut kyseisen sopimuksen AWS EMEAn kanssa, joka on Yhdysvaltojen oikeuden mukaan perustetun Amazon.com-yrityksen omistama tytäryhtiö, jonka kotipaikka on Luxemburgissa (ks. edellä 12 kohta).

114

Neljänneksi kyseisessä sopimuksessa komissio valitsi tulevaisuuskonferenssin internetsivuston osalta maantieteellisen alueen nimeltään ”Pohjois-Amerikka (Yhdysvallat, Meksiko, Kanada), Eurooppa ja Israel”. Tämä merkitsee sitä, että kyseisen internetsivuston sisältöä ei jaettu Amazon CloudFrontin reunapalvelinten maailmanlaajuisen verkoston välityksellä vaan yksinomaan niiden palvelinten välityksellä, jotka sijaitsevat edellä mainituilla maantieteellisillä alueilla eli Yhdysvalloissa, Meksikossa, Kanadassa, Euroopassa ja Israelissa.

115

Viidenneksi edellä 112 kohdassa mainitun läheisyysperiaatteen vuoksi tulevaisuuskonferenssin internetsivuston vierailupyynnöt, jotka unionissa olevat käyttäjät tekevät, ohjataan tavallisesti Amazon CloudFront ‑verkoston kyseisellä alueella sijaitseville reunapalvelimille, ja tapaukset, joissa ne ohjataan unionin ulkopuolella sijaitseville palvelimille, ovat harvinaisia.

116

Kuudenneksi Amazon CloudFrontin reunapalvelinverkoston infrastruktuurista on todettava, että asiakirja-aineistosta ilmenee, että sen tarjoavat useat yritykset, joista jotkut kuuluvat Amazon-konserniin ja toiset ovat kolmansia yrityksiä ja joiden luetteloon voi tutustua Amazon Web Servicesin internetsivustolla asianomaisen maantieteellisen alueen mukaan. Sen maantieteellisen alueen osalta, joka on nimeltään ”Pohjois-Amerikka (Yhdysvallat, Meksiko, Kanada), Eurooppa ja Israel”, asianomaiset yritykset ovat sijoittautuneet sekä unionin jäsenvaltioihin että unionin ulkopuolelle ja muun muassa Yhdysvaltoihin, Israeliin, Meksikoon, Sveitsiin tai Yhdistyneeseen kuningaskuntaan. Kukin yritys käyttää siinä maassa olevia palvelimia, johon se on sijoittautunut, minkä vuoksi niiden palvelimien maantieteellinen sijainti, joita käytetään Amazon CloudFront ‑palvelun tarjoamisessa, riippuu myös asianomaisten yritysten sijainnista.

117

Seitsemänneksi komission ja AWS EMEAn välisen sopimuksen lausekkeissa todetaan muun muassa seuraavaa:

–

AWS EMEAn on kyettävä takaamaan, että data lepää ETA-alueella ja kulkee ETA-alueen kautta (sopimuksen 11.2 kohta)

–

AWS EMEA ei saa vaihtaa tietojen käsittelyn sijaintipaikkaa ilman komission ennalta antamaa lupaa (sopimuksen 12.2.3(a) kohta)

–

sopimuksen nojalla tapahtuvassa henkilötietojen siirrossa kolmansiin maihin tai kansainvälisille järjestöille on noudatettava täysimääräisesti asetuksen 2018/1725 V luvussa säädettyjä vaatimuksia (sopimuksen 12.2.3(b) kohta)

–

AWS EMEA voi siirtää henkilötietoja ETA:n ulkopuolella sijaitsevaan maahan vain, jos komissio on antanut ennalta kirjallisen luvan tällaiseen siirtoon ja jos siirto tapahtuu V luvun edellytysten mukaisesti (sopimuksen 1.8.9 kohta)

–

AWS EMEAn on toimitettava komissiolle kaikki henkilötietoihin tutustumista koskevat pyynnöt ja sen on käytettävä kaikkia käytettävissä olevia oikeussuojakeinoja tällaisten pyyntöjen yhteydessä (sopimuksen 1.8.3, 1.8.4 ja 1.8.5 kohta)

–

AWS EMEA huolehtii siitä, että nämä toimenpiteet toteutetaan myös alihankkijoita käytettäessä (sopimuksen 1.8.8 kohta).

118

Kahdeksanneksi komissio kuuli Euroopan tietosuojavaltuutettua edellä mainituista sopimuslausekkeista, mutta tämä ei antanut niille virallista lupaa asetuksen 2018/1725 48 artiklan 3 kohdan a alakohdan nojalla.

–

Riidanalainen siirto vierailtaessa tulevaisuuskonferenssin internetsivustolla 30.3.2022

119

[Sellaisena kuin se on oikaistuna 3.6.2025 annetulla määräyksellä] Kantaja väittää lähinnä, että vieraillessaan tulevaisuuskonferenssin internetsivustolla 30.3.2022 hän totesi, että hänen tietyt henkilötietonsa – erityisesti hänen IP-osoitteensa ja tietoja hänen verkkoselaimestaan ja tietokonepäätteestään – oli siirretty Yhdysvaltoihin. Ensinnäkin kyseinen internetsivusto käyttää hänen mukaansa sisällönjakeluverkkoa nimeltään Amazon CloudFront, jonka operaattori on Amazon Web Services, joka on yhdysvaltalaisyritys Amazon.comin yhdysvaltalainen tytäryhtiö. Toiseksi kyseisen vierailun aikana kantajan henkilötietoja lähetettiin hänen mukaansa Amazon CloudFront ‑palveluun ja täsmällisemmin todettuna Amazon.comin palvelimelle, joka sijaitsee Seattlessa (Washington, Yhdysvallat) ja jonka IP-osoite on 18.66.192.74. Kolmanneksi tulevaisuuskonferenssin internetsivuston käyttämä turva-avain (nimeltään SSL-varmenne) on kantajan mukaan Amazonin antama, minkä vuoksi on oletettava, että tämän oli mahdollista purkaa kaikki kantajan henkilötiedot, jotka siirrettiin sen palvelimille, mukaan lukien hänen mielipiteensä Euroopan tulevaisuudesta. Neljänneksi yritykseen, joka tarjoaa Amazon CloudFront ‑palvelun, sovelletaan kantajan mukaan Yhdysvaltojen lainsäädäntöä, minkä vuoksi sen on toimitettava tietoja Yhdysvaltojen turvallisuus- ja tiedustelupalveluille myös tapauksissa, joissa palvelimet sijaitsevat kyseisen maan ulkopuolella. Kantaja väittää myös, että komissio ei ole toteuttanut Schrems II ‑tuomiossa tarkoitettuja lisätoimenpiteitä Yhdysvaltoihin siirrettyjen tietojen riittävän suojan takaamiseksi.

120

Komissio kiistää nämä argumentit.

121

Tulevaisuuskonferenssin internetsivustolla 30.3.2022 tapahtuneen vierailun osalta asiakirja-aineistosta ilmenee, että kantaja vieraili mainitulla sivustolla kyseisenä päivänä (ks. edellä 3 kohta), ja että kyseisen vierailun aikana hänen IP-osoitteensa ja tietoja hänen verkkoselaimestaan ja tietokonepäätteestään siirrettiin.

122

Tämän osalta on todettava, että IP-osoite on luokiteltava asetuksen 2018/1725 3 artiklan 1 alakohdassa tarkoitetuksi henkilötiedoksi, koska se täyttää siinä säädetyt kaksi edellytystä. Yhtäältä kyseinen tieto liittyy luonnolliseen henkilöön ja toisaalta se liittyy tunnistettuun tai tunnistettavissa olevaan henkilöön, joka on käsiteltävässä asiassa kantaja (tuomio 26.4.2023, SRB v. Euroopan tietosuojavaltuutettu, T‑557/20, muutoksenhaussa, EU:T:2023:219, 59 kohta; ks. myös vastaavasti ja analogisesti tuomio 24.11.2011, Scarlet Extended, C‑70/10, EU:C:2011:771, 51 kohta ja tuomio 19.10.2016, Breyer, C‑582/14, EU:C:2016:779, 49 kohta). Jopa niin kutsutut dynaamiset IP-osoitteet, jotka ovat luonteeltaan muuttuvia, vastaavat nimittäin tiettyä henkilöllisyyttä tietyllä hetkellä, joka käsiteltävässä asiassa osuu yhteen sen hetken kanssa, jona tulevaisuuskonferenssin internetsivustolla vierailtiin.

123

On myös osoitettu, että tulevaisuuskonferenssin internetsivustolta käynnistettiin edellä 121 kohdassa mainittujen tietojen siirto Amazon CloudFront ‑palvelun välityksellä palvelimelle, jonka IP-osoite on 18.66.192.74.

124

On edelleen osoitettu, että tosiseikkojen tapahtumahetkellä IP-osoite 18.66.192.74 oli annettu Münchenissä (Saksa) sijaitsevalle palvelimelle ja että kyseinen palvelin kuului A 100 ROW GmbH ‑yritykselle, joka oli sijoittautunut Saksaan ja joka kuului edellä 116 kohdassa mainittuun yritysten luetteloon.

125

Tästä seuraa, että kantajan vieraillessa tulevaisuuskonferenssin internetsivustolla 30.3.2022 hänen asetuksen 2018/1725 3 artiklan 1 alakohdassa tarkoitettuja henkilötietojaan – muun muassa hänen IP-osoitteensa – todellakin siirrettiin.

126

Käsiteltävässä asiassa ei kuitenkaan ole osoitettu, että kantajan vieraillessa tulevaisuuskonferenssin internetsivustolla 30.3.2022 hänen henkilötietojaan olisi siirretty kolmanteen maahan ja erityisesti Yhdysvaltoihin.

127

Sen sijaan edellä 121–124 kohdasta ilmenee, että kantajan vieraillessa tulevaisuuskonferenssin internetsivustolla 30.3.2022 tulevaisuuskonferenssin internetsivustolta käynnistettiin hänen henkilötietojensa siirto Amazon CloudFront ‑palvelun välityksellä Münchenissä sijaitsevalle palvelimelle. Kyseinen palvelin kuului Saksaan sijoittautuneelle yritykselle, joka oli osa Amazon CloudFront ‑palvelun infrastruktuurin palveluntarjoajien verkostoa, joka tarjotaan komissiolle Luxemburgiin sijoittautuneen AWA EMEA ‑yrityksen kanssa tehdyn sopimuksen perusteella.

128

Tästä seuraa, että kantajan vieraillessa tulevaisuuskonferenssin internetsivustolla 30.3.2022 hänen henkilötietojaan siirrettiin unioniin sijoittautuneelle vastaanottajalle.

129

On lisäksi niin, että vaikka katsottaisiin, että kantajan henkilötiedot eivät poistuneet unionin alueelta, kyseiset tiedot kuitenkin siirrettiin palvelimelle, joka kuuluu Amazon CloudFront ‑palvelun reunapalvelinverkostoon, joka kattaa tulevaisuuskonferenssin internetsivuston sisällön jakelun osalta reunapalvelinverkoston, joka ei rajoitu ETA:lle vaan ulottuu sen rajojen ulkopuolelle (ks. edellä 116 kohta).

130

Tämän tuomion 127 kohdassa kuvaillut konkreettiset seikat eivät kuitenkaan osoita henkilötietojen siirtoa vastaanottajille, jotka ovat sijoittautuneet ETA:n ulkopuolelle ja erityisesti Yhdysvaltoihin.

131

Riidanalainen siirto vierailtaessa tulevaisuuskonferenssin internetsivustolla 30.3.2022 ei siis vastaa asetuksen 2018/1725 46 artiklassa tarkoitettua henkilötietojen siirtoa kolmanteen maahan, koska siirtoa kolmanteen maahan koskeva käsite edellyttää, että henkilötietoja asetetaan ETA:n ulkopuolelle sijoittautuneen vastaanottajan saataville (ks. edellä 93 kohta).

132

Kantajan argumentilla, joka koskee sitä, että yhdysvaltalaisyrityksen tytäryhtiönä AWS EMEAn velvollisuutena on siirtää henkilötietoja yhdysvaltalaisviranomaisille silloinkin, kun tiedot tallennetaan unionin alueelle, ei aseteta tätä päätelmää kyseenalaiseksi.

133

Vaikka on toki niin, että kolmannen maan viranomaisten mahdollisuus tutustua – kyseisen maan lainsäädännön nojalla – ETA:lla käsiteltyihin henkilötietoihin merkitsee asetuksen 2018/1725 46 artiklassa tarkoitettua henkilötietojen siirtoa kolmanteen maahan, on kuitenkin niin, että käsiteltävässä asiassa tällaisen tietoihin pääsyn tapahtumista ei ole osoitettu. Kantaja ei nimittäin osoita eikä väitä, että mitään hänen henkilötietojaan olisi siirretty yhdysvaltalaisviranomaisille, eikä hän osoita eikä väitä, että kyseiset viranomaiset olisivat esittäneet pyyntöä, joka koskee tietoja, jotka siirrettiin Amazon CloudFrontin kyseiseille palvelimelle, joka sijaitsee Münchenissä.

134

Kantajan argumentti ei siis koske asetuksen 2018/1725 V luvun säännösten suoraa rikkomista vaan yksinomaan vaaraa tällaisesta rikkomisesta siinä tilanteessa, että yhdysvaltalaisyrityksen tytäryhtiönä AWS EMEA ei kykenisi torjumaan yhdysvaltalaisviranomaisten pyyntöä saada tutustua tietoihin, jotka on tallennettu ETA:lla sijaitseville palvelimille.

135

Pelkkä vaara siitä, että kolmas maa saa tutustua henkilötietoihin, ei kuitenkaan voi olla asetuksen 2018/1725 46 artiklassa tarkoitettua tietojen siirtoa, sellaisena kuin sitä tulkittiin edellä 93 kohdassa, koska ei ole osoitettu, että kantajan henkilötietoja olisi siirretty kolmanteen maahan sijoittautuneelle vastaanottajalle tai että niitä olisi muulla tavoin asetettu tällaisen vastaanottajan saataville. Toisin sanoen vaaraa kyseisen 46 artiklan rikkomisesta ei voida rinnastaa kyseisen säännöksen suoraan rikkomiseen.

136

On lisäksi palautettava mieleen, että käsiteltävässä vahingonkorvausvaatimuksessa unionin yleisen tuomioistuimen tutkinta koskee sopimussuhteen ulkopuolisen komission vastuun syntymisen edellytysten ja erityisesti sen edellytyksen selvittämistä, joka koskee komission menettelyn lainvastaisuutta, mikä edellyttää sen osoittamista, että asetuksen 2018/1725 ja perusoikeuskirjan säännöksiä, joihin kantaja vetoaa, on rikottu riittävän ilmeisesti.

137

Tämän osalta pelkkä vaara asetuksen 2018/1725 V luvun säännösten rikkomisesta ei voi missään tapauksessa riittää osoittamaan komission moitittavaa menettelyä, joka merkitsee kyseisten säännösten riittävän ilmeistä rikkomista.

138

Tätä päätelmää ei voida asettaa kyseenalaiseksi kantajan argumentilla, joka koskee Schrems II ‑tuomiota. On nimittäin huomattava, että kyseisessä tuomiossa unionin tuomioistuin lausui tietyistä edellytyksistä, joiden täyttyessä henkilötietoja voidaan siirtää Yhdysvaltoihin, eikä edellytyksistä, joiden täyttyessä yhdysvaltalaisyhtiöiden tytäryhtiöt, kuten AWS EMEA, voivat käsitellä tällaisia tietoja ETA:lla.

139

Kaikesta edellä esitetystä seuraa, että kun on kyse riidanalaisesta siirrosta vierailtaessa tulevaisuuskonferenssin internetsivustolla 30.3.2022, kantaja ei ole osoittanut, että komissio olisi syyllistynyt asetuksen 2018/1725 46 artiklan, 48 artiklan 1 kohdan ja 2 kohdan b alakohdan sekä perusoikeuskirjan 7, 8 ja 47 artiklan edellä 50 kohdassa mieleen palautetussa oikeuskäytännössä tarkoitettuun riittävän ilmeiseen rikkomiseen.

140

Koska yksi SEUT 340 artiklan toisessa kohdassa määrätyistä kumulatiivisista edellytyksistä sopimussuhteen ulkopuolisen unionin vastuun syntymiselle ei täyty, toinen vahingonkorvausvaatimus on siis hylättävä, kun on kyse riidanalaisesta siirrosta vierailtaessa tulevaisuuskonferenssin internetsivustolla 30.3.2022, eikä kantajan muita argumentteja ole tarpeen tutkia.

–

Riidanalainen siirto vierailtaessa tulevaisuuskonferenssin internetsivustolla 8.6.2022

141

Kantaja väittää, että hänen vieraillessaan tulevaisuuskonferenssin internetsivustolla 8.6.2022 hänen henkilötietojaan – muun muassa hänen IP-osoitteensa – siirrettiin Yhdysvalloissa sijaitseville Amazon CloudFrontin palvelimille. Kantajan mukaan kyseiset siirrot eivät perustu hänen toimintaansa internetsivuston käyttäjänä, vaan ne ovat Amazon CloudFront ‑palvelun sellaisen toiminnan tulos, jonka yhteydessä vaara tietojen siirtämisestä Yhdysvaltoihin liittyy olennaisesti siihen maailmanlaajuiseen infrastruktuuriin, johon kyseinen palvelu perustuu. Kantajan mukaan hänen tilanteensa ei eroa sellaisen unionin kansalaisen tilanteesta, joka vierailee tulevaisuuskonferenssin internetsivustolla esimerkiksi työmatkalla Yhdysvalloissa. Kantajan mukaan komissio ei toimi vaaditulla huolellisuudella sen välttämiseksi, että tiedot siirretään Yhdysvaltoihin, koska se on valinnut sisällönjakeluverkon, joka perustuu maailmanlaajuiseen rakenteeseen puhtaasti eurooppalaisen isännöintiratkaisun sijaan.

142

Kantajan mukaan kyseinen henkilötietojen siirto aiheutti hänelle asetuksen 2018/1725 johdanto-osan 46 perustelukappaleessa tarkoitettua aineetonta vahinkoa, koska hän ei voinut valvoa tietojaan, jotka siirrettiin Yhdysvaltoihin ja joita yhdysvaltalaisviranomaiset lainvastaisesti tarkkailivat, ja koska hänen oikeuksiaan ja vapauksiaan evättiin.

143

Komissio kiistää nämä argumentit.

144

Aluksi ja kantajan perustelut huomioiden on muistutettava, että käsiteltävässä vahingonkorvausvaatimuksessa unionin yleisen tuomioistuimen tutkinta ei koske suoraan komission sen päätöksen laillisuutta, joka koskee Amazon CloudFront ‑palvelun käyttämistä tulevaisuuskonferenssin internetsivuston sisällön levittämiseen, vaan niiden edellytysten tarkistamista, jotka koskevat sopimussuhteen ulkopuolisen komission vastuun syntymistä, kun on kyse riidanalaisesta siirrosta vierailtaessa tulevaisuuskonferenssin internetsivustolla 8.6.2022

145

Käsiteltävässä asiassa unionin yleinen tuomioistuin katsoo asianmukaiseksi käsitellä aluksi edellytystä, joka koskee syy-yhteyden olemassaoloa komission väitetysti moitittavan menettelyn ja sen aineettoman vahingon välillä, johon kantaja vetoaa.

146

Edellä 55 kohdassa mieleen palautetusta oikeuskäytännöstä ilmenee, että syy-yhteyttä koskeva edellytys koskee sitä, että toimielimen moititun menettelyn ja vahingon välillä on riittävän suora syy-yhteys – joka kantajan on näytettävä toteen –, siten, että moititun menettelyn on oltava vahingon ratkaiseva syy.

147

Oikeuskäytännöstä ilmenee myös, että SEUT 340 artiklan toisessa kohdassa tarkoitetun sopimussuhteen ulkopuolisen unionin vastuun syntymisedellytyksenä oleva syy-yhteys on olemassa silloin, kun vahinko on välitön seuraus kyseessä olevasta moitittavasta toimesta (tuomio 28.6.2007, Internationaler Hilfsfonds v. komissio, C‑331/05 P, EU:C:2007:390, 23 kohta).

148

Syy-yhteyden välittömyyden osalta unionin yleinen tuomioistuin on jo katsonut, että vahingon on seurattava suoraan väitetystä lainvastaisuudesta eikä kantajan valitsemasta tavasta reagoida lainvastaiseksi väitettyyn toimeen. Näin ollen on katsottu, ettei pelkästään se seikka, että lainvastainen menettely on ollut välttämätön edellytys (conditio sine qua non) vahingon ilmenemiselle sillä tavoin, ettei vahinkoa olisi tapahtunut ilman tätä menettelyä, riitä luomaan unionin oikeuskäytännössä tarkoitettua riittävän suoraa syy-yhteyttä (ks. vastaavasti ja analogisesti tuomio 30.11.2011, Transnational Company ”Kazchrome” ja ENRC Marketing v. neuvosto ja komissio, T‑107/08, EU:T:2011:704, 80 kohta oikeuskäytäntöviittauksineen ja tuomio 23.5.2019, Remag Metallhandel ja Jaschinsky v. komissio, T‑631/16, ei julkaistu, EU:T:2019:352, 52 kohta oikeuskäytäntöviittauksineen).

149

Oikeuskäytännöstä ilmenee näin ollen, että tällaista syy-yhteyttä ei ole osoitettu, kun vahinko, johon vedotaan, on suora seuraus kantajan omasta päätöksestä tai vapaasta valinnasta, minkä vuoksi sitä ei voida katsoa asianomaisen toimielimen tai elimen syyksi (ks. vastaavasti ja analogisesti tuomio 28.6.2007, Internationaler Hilfsfonds v. komissio, C‑331/05 P, EU:C:2007:390, 22–29 kohta; tuomio 17.2.2017, Novar v. EUIPO, T‑726/14, EU:T:2017:99, 31 ja 32 kohta ja tuomio 28.2.2018, Vakakis kai Synergates v. komissio, T‑292/15, EU:T:2018:103, 173 kohta oikeuskäytäntöviittauksineen).

150

Käsiteltävässä asiassa on siis selvitettävä, onko menettely, josta komissiota moititaan, eli Amazon CloudFront ‑palvelun käyttäminen tulevaisuuskonferenssin internetsivuston sisällönjakeluverkkona sen aineettoman vahingon, johon kantaja vetoaa ja joka muodostuu siitä, että hän ei voinut enää valvoa henkilötietoja, jotka hänen mukaansa siirrettiin Yhdysvaltoihin hänen vieraillessaan kyseisellä internetsivustolla 8.6.2022, suora syy.

151

Tämän osalta on ensinnäkin niin, että asiakirja-aineistosta sekä asianosaisten vastauksista suullisessa käsittelyssä esitettyihin kysymyksiin ilmenee, että 8.6.2022 kantaja oli Münchenissä ja että hän vieraili useaan otteeseen tulevaisuuskonferenssin internetsivustolla. Kyseisten vierailujen aikana kantajan IP-osoitteesta muodostettiin peräkkäisiä yhteyksiä Amazon CloudFront ‑palvelun eri palvelimiin, jotka sijaitsivat maantieteellisesti hyvin kaukana toisistaan. Näin ollen klo 7.13 muodostettiin yhteys Münchenissä sijaitsevaan palvelimeen, klo 11.13 Lontoossa (Yhdistynyt kuningaskunta) sijaitsevaan palvelimeen, klo 12.56 Hillsborossa (Oragon, Yhdysvallat) sijaitsevaan palvelimeen, klo 13.05 Newarkissa sijaitsevaan palvelimeen ja klo 19.12 Frankfurt-am-Mainissa (Saksa) sijaitsevaan palvelimeen.

152

Toiseksi asiakirja-aineistosta ilmenee, että kantajan IP-osoite siirrettiin Amazon CloudFront ‑palvelun edellä 151 kohdassa mainituille eri palvelimille, Yhdysvalloissa sijaitsevat palvelimet mukaan lukien.

153

Kolmanneksi on muistutettava, että kantajan IP-osoite on henkilötieto.

154

Neljänneksi on huomattava, että 8.6.2022 tulevaisuuskonferenssin internetsivusto rekisteröi 4 548 käyntiä ja 18 eri IP-osoitetta. Näistä vain yhdestä IP-osoitteesta eli kantajan IP-osoitteesta muodostettiin yhteys unionin ulkopuolella eli Yhdysvalloissa ja Yhdistyneessä kuningaskunnassa sijaitseviin palvelimiin. Tämän osalta on huomattava, ettei ole osoitettu eikä edes väitetty, että 8.6.2022 tulevaisuuskonferenssin internetsivuston Amazon CloudFront ‑palvelussa olisi ollut teknisiä tai muunlaisia ongelmia, jotka olisivat estäneet sen reititysmekanismin normaalin toiminnan sen läheisyysperiaatteen mukaan, joka ohjaa tulevaisuuskonferenssin internetsivuston käyttäjien pyynnöt reunapalvelimelle, joka tarjoaa lyhimmän vasteajan käyttäjän maantieteellisen sijainnin mukaan. (ks. edellä 112 kohta).

155

Viidenneksi kantajan IP-osoitteesta Yhdysvalloissa sijaitseviin palvelimiin muodostettuihin yhteyksiin liittyvistä seikoista on todettava yhtäältä, että asiakirja-aineistosta ja asianosaisten vastauksista suullisessa käsittelyssä ilmenee, että kantaja väittää, että kyseiset yhteydenotot perustuivat Amazon CloudFrontin toimintaan eivätkä minkäänlaiseen kantajan toteuttamaan manipulointiin. Toisaalta komissio huomauttaa, että yhteydenotot olivat epätyypillisiä eivätkä ne ole selitettävissä muutoin kuin kantajan harjoittamalla teknisellä manipuloinnilla.

156

Tämän osalta on todettava, että edellä 151 kohdassa kuvaillut seikat osoittavat, että niiden eri palvelinten eri sijaintipaikat, joihin kantajan IP-osoite otti yhteyden, eivät voineet perustua kantajan fyysiseen siirtymiseen saman päivän aikana, mikä olisi ollut mahdotonta, kun otetaan huomioon kyseessä olevat välimatkat ja kyseessä olevien kellonaikojen välillä kuluneet ajat. Ei myöskään ole osoitettu eikä edes väitetty, että Amazon CloudFront ‑palvelussa olisi ollut toimintahäiriö, minkä perusteella voidaan katsoa, että 8.6.2022 kyseinen palvelu toimi läheisyyttä käyttäjän tietokonepäätteen kanssa koskevan periaatteen mukaan, ja sen reititysmekanismi ohjasi tulevaisuuskonferenssin internetsivuston käyttäjien pyynnöt reunapalvelimelle, joka tarjosi lyhimmän vasteajan (ks. edellä 154 kohta).

157

Tässä tilanteessa yhteydenotot kantajan IP-osoitteesta Yhdysvalloissa sijaitseviin palvelimiin kantajan ollessa Saksassa eivät voineet perustua Amazon CloudFront ‑palvelun normaaliin toimintaan vaan pikemminkin kantajan toteuttamaan tekniseen säätöön hänen näkyvän sijaintinsa muuttamiseksi siten, että hän esiintyi digitaalisessa ympäristössä ikään kuin hän oli ollut samana päivänä peräkkäin lähellä Müncheniä, Lontoota, Hillsboroa, Newarkia ja Frankfurt-am-Mainia sijaitsevilla alueilla.

158

Tästä seuraa, että on toki niin, että juuri Amazon CloudFront ‑palvelun toiminta reititysmekanismeineen, joka toimii läheisyysperiaatteen mukaan ja joka kattaa ETA:ta laajemman maantieteellisen alueen ja muun muassa Yhdysvallat (ks. edellä 112 ja 114 kohta), mahdollisti sen, että kun kantajan vieraili tulevaisuuskonferenssin internetsivustolla, hänen IP-osoitteensa muodosti yhteyksiä Amazon CloudFrontin Yhdysvalloissa sijaitseviin palvelimiin.

159

Vaikka se, että komissio käyttää Amazon CloudFront ‑palvelua, on välttämätön edellytys edellä 152 kohdassa mainituille henkilötietojen siirroille Yhdysvaltoihin, tämä seikka ei käsiteltävän asian olosuhteissa riitä osoittamaan, että kantajan mainitseman aineettoman vahingon ja komission väitetysti lainvastaisen menettelyn, joka muodostuu tällaisen palvelun käyttämisestä asetuksen 2018/1725 V luvun säännösten vastaisesti, välillä olisi riittävän suora syy-yhteys.

160

On nimittäin katsottava, että kantajan menettely – ei komission väitetysti tekemä virhe, johon se syyllistyi käyttämällä Amazon CloudFront ‑palvelua – oli väitetyn aineettoman vahingon suora ja välitön syy.

161

Näin ollen juuri kantaja loi tarvittavat edellytykset yhteyksien aikaan saamiseksi Yhdysvalloissa sijaitseviin palvelimiin Amazon CloudFront ‑palvelun toiminnan välityksellä. Juuri kantajan menettely aiheutti sen, että Amazon CloudFront ‑palvelun reititysmekanismi siirsi hänen tulevaisuuskonferenssin internetsivustolla vierailua koskevat pyyntönsä Yhdysvalloissa sijaitseville palvelimille, koska viimeksi mainittujen vasteaika oli lyhin suhteessa kantajan näkyvään sijaintiin digitaalisessa ympäristössä, vaikka se ei vastannut hänen tosiasiallista sijaintiaan.

162

Kantajan ei myöskään ollut perusteltua menetellä tavalla, jolla pyrittiin saamaan aikaan tietty lopputulos (eli hänen henkilötietojensa siirtäminen kolmanteen maahan), ja sitten vaatia vahingonkorvausta, joka väitetysti aiheutui kyseisestä lopputuloksesta, joka oli hänen menettelynsä välitön seuraus. Toisin kuin kantaja väittää, käsiteltävän kaltaisessa vahingonkorvauskanteessa hänen tilannettaan ei siis voida arvioida samankaltaisesti kuin sellaisen käyttäjän tilannetta, joka on tosiasiallisesti matkustanut Yhdysvaltoihin ja joka on näin ollen vieraillut tulevaisuuskonferenssin internetsivustolla kyseisestä maasta käsin.

163

Kaikesta edellä esitetystä seuraa, että kun on kyse riidanalaisesta siirrosta vierailtaessa tulevaisuuskonferenssin internetsivustolla 8.6.2022, riittävän suoraa syy-yhteyttä komission väitetysti lainvastaisen menettelyn ja aineettoman vahingon, johon kantaja vetoaa, välillä ei ole osoitettu.

164

Koska yksi kumulatiivisista edellytyksistä sopimussuhteen ulkopuolisen unionin vastuun syntymiselle ei täyty, vahingonkorvausvaatimus on siis hylättävä, kun on kyse riidanalaisesta siirrosta vierailtaessa tulevaisuuskonferenssin internetsivustolla 8.6.2022, eikä muita kyseisen vastuun syntymisen edellytyksiä ole tarpeen tutkia.

–

Riidanalainen siirto kirjauduttaessa EU Loginiin 30.3.2022

165

Kantaja väittää, että 30.3.2022 hänen ilmoittautuessaan tulevaisuuskonferenssin internetsivustolla mainittuun GoGreen-tapahtumaan hänen IP-osoitteensa ja tietoja hänen verkkoselaimestaan ja tietokonepäätteestään siirrettiin Yhdysvaltoihin sijoittautuneelle Meta Platforms ‑yritykselle, joka omistaa verkkoyhteisöpalvelu Facebookin. Kantaja väittää, että kyseisen ilmoittautumisen yhteydessä hänet ohjattiin unionin EU Login ‑käyttäjäntodentamispalveluun, joka tarjoaa muun muassa kirjautumismahdollisuutta eri verkkoyhteisöpalvelujen välityksellä. Kantaja väittää valinneensa kirjautumisen Facebook-tilinsä välityksellä, ja kun hän klikkasi hyperlinkkiä, joka ohjasi hänet Facebookiin, kyseinen linkki johti hänen mukaansa hänen IP-osoitteensa siirtämiseen Facebookille. Kantaja väittää hyväksyneensä yksinomaan Facebookin ”välttämättömät evästeet”. Kantajan mukaan Facebook keräsi hänen muita henkilötietojaan eli hänen sähköpostiosoitteensa, etu- ja sukunimensä ja profiilikuvansa evästeiden – ja muun muassa sb:ksi nimetyn evästeen – avulla ja siirsi ne Meta Platformsin palvelimille. Oikeuskäytännöstä ilmenee kantajan mukaan, että niiden internetsivustojen ylläpitäjät, jotka – komission tavoin – käyttävät Facebookia internetsivustoillaan, ovat Facebookin kanssa yhteisvastuussa henkilötietojen suojaa koskevan unionin lainsäädännön noudattamisesta. Kantajan mukaan komissio on siis osavastuussa Facebookin tallentamien evästeiden sijoittelusta. Kantajan mukaan hän ei voinut enää valvoa hänen Facebookille siirrettyjä henkilötietojaan, ja häneltä evättiin hänen oikeuksiaan ja vapauksiaan, mikä merkitsee asetuksen 2018/1725 johdanto-osan 46 perustelukappaleessa tarkoitettua aineetonta vahinkoa.

166

Komissio kiistää nämä argumentit. Se väittää lähinnä, että se ei suorittanut tietojen siirtoa Meta Platformsille eikä käynnistänyt sitä. Komission mukaan GoGreen-tapahtumaan osallistuminen ei edellytä ilmoittautumista EU Loginin välityksellä, ja jopa EU Loginia käyttäessään kantajalla oli eri todentamismahdollisuuksia, joihin kuului mahdollisuuksia, jotka eivät edellyttäneet verkkoyhteisöpalvelun tilin käyttöä. Komission mukaan kantaja siis valitsi kirjautumisen EU Login ‑palveluun Facebook tilinsä välityksellä ja näin ollen kantaja – ei komissio – käynnisti vierailun Facebookin internetsivustolle. Komission mukaan teknisellä tasolla on lisäksi niin, että valinta todentamisesta Facebookin välityksellä tehdään sellaista EU Login ‑sivustolla olevaa hyperlinkkiä käyttäen, joka ei sisällä käyttäjän henkilötietoja. Toisin kuin kantaja väittää, Facebookin käyttämien evästeiden keräämiä tietoja ei siirretä komissiolle kirjauduttaessa EU Loginiin eivätkä ne ole sen vastuulla. Komission mukaan evästeet perustuivat Facebookin ja kantajan väliseen yhteydenpitoon käyttäjän antaman suostumuksen perusteella eikä komissio ole mukana tässä yhteydenpidossa. Komissio väittää lisäksi, että kantajan mainitsemaa oikeuskäytäntöä ei sovelleta käsiteltävässä asiassa ja että kantajan argumentti, joka koskee komission ja Meta Platformsin väitettyä yhteisvastuuta, on joka tapauksessa uusi peruste, johon vedottiin ensimmäistä kertaa vastausvaiheessa, minkä vuoksi se on jätettävä tutkimatta.

167

Käsiteltävässä asiassa on tarkasteltava aluksi riidanalaiseen siirtoon EU Loginiin 30.3.2022 kirjauduttaessa liittyvää tosiseikastoa, ja huomioon on otettava asiakirja-aineistoon perustuvat seikat ja asianosaisten vastaukset unionin yleisen tuomioistuimen suullisessa käsittelyssä ja prosessinjohtotoimena 9.2.2024 esittämiin kysymyksiin.

168

Tämän osalta on todettava, että GoGreen-tapahtumasta, jonka Alankomaihin sijoittautunut järjestö järjesti, ilmoitettiin tulevaisuuskonferenssin internetsivustolla. Kyseiseen tapahtumaan oli mahdollista ilmoittautua muun muassa tulevaisuuskonferenssin internetsivustolla EU Login ‑palvelun välityksellä.

169

Kantaja valitsi ilmoittautumisen tulevaisuuskonferenssin internetsivustolla EU Loginia käyttämällä.

170

EU Login on komission käyttäjäntodentamispalvelu, joka suojaa useita satoja unioniin liittyviä internetsivustoja ja sovelluksia. Käsiteltävässä asiassa sillä, että GoGreen-tapahtumaan ilmoittautumiseksi kirjauduttiin EU Loginiin, pyrittiin varmistamaan se, että ilmoittautuminen tuli varmennetusta sähköpostiosoitteesta, millä voitiin vähentää vaaraa, joka liittyy valekäyttäjien ilmoittautumiseen tai identiteettipetoksiin.

171

EU Login ‑sivustolla tarjotaan useita kirjautumisvaihtoehtoja. Ensimmäinen vaihtoehto on kirjautuminen suoraan EU Loginiin joko täyttämällä kirjautumistiedot olemassa olevalle EU Login ‑tilille tai luomalla tili kyseiseen palveluun. Toinen vaihtoehto on tiettyjen jäsenvaltioiden kansalaisten käytettävissä olevan sähköisen henkilökortin eli eID:n käyttäminen. Kolmas vaihtoehto, joka on käytettävissä tiettyihin palveluihin, muodostuu käyttäjällä jo Facebookissa, Twitterissä tai Googlessa olevan tilin käyttämisestä klikkaamalla vastaavaa hyperlinkkiä, joka esitetään EU Login ‑sivustolla.

172

Mahdollisuus kirjautua EU Loginiin Facebook-tilin välityksellä perustuu siihen, että komissio on katsonut, että käyttäjille on annettava mahdollisuus valita kirjautuminen EU Loginiin alustoilla olemassa olevien tilien välityksellä, jotta heille voidaan tarjota helpompi ja nopeampi sisäänpääsy ja mahdollisuus todentaa henkilöllisyytensä tarvitsematta luoda EU Login ‑tiliä, jolloin useat tilit ja tahot, joiden kanssa käyttäjien on jaettava henkilötietonsa, eivät ole tarpeen. Komissio on lisäksi katsonut, että Facebook on luotettava tapa varmentaa käyttäjien sähköpostiosoitteet sen käyttöön ottamien toimenpiteiden vuoksi. Hyperlinkki, joka mahdollistaa kirjautumisen olemassa olevan Facebook-tilin välityksellä, on kuitenkin olemassa EU Loginissa vain sellaisten internetsivustojen tai sovellusten osalta, jotka edellyttävät pelkästään perusturvallisuustasoa.

173

Kantaja valitsi kirjautumisen EU Loginiin olemassa olevan Facebook-tilinsä välityksellä käyttämällä hyperlinkkiä ”Sign in with Facebook”, joka esitetään EU Login ‑sivustolla (jäljempänä hyperlinkki ”Kirjaudu Facebook-tiliä käyttäen”).

174

Hyperlinkki ”Kirjaudu Facebook-tiliä käyttäen” sisältää linkin komission ulkopuoliselle internetsivustolle. Kun hyperlinkki aktivoidaan sitä klikkaamalla, hyperlinkin kautta annetaan pääsy Facebookin internetsivuston URL-osoitteeseen eli kyseisen internetsivuston yksilölliseen osoitteeseen.

175

Pääsy Facebookin internetsivuston URL-osoitteeseen johtaa käyttäjän verkkoselaimen ja kyseisen internetsivuston väliseen kommunikointiin, jonka yhteydessä verkkoselain välittää asianomaisen internetsivuston käyttäjän IP-osoitteen. Osoitteen välittäminen vastaa sitä, mitä tapahtuu, kun käyttäjä näppäilee suoraan minkä tahansa internetsivuston URL-osoitteen verkkoselaimessaan, koska jokaisen internetin käyttäjän, joka haluaa päästä jollekin internetsivustolle, on välttämättä ilmoitettava IP-osoite.

176

Hyperlinkin ”Kirjaudu Facebook-tiliä käyttäen” välityksellä EU Login lähettää Facebookille tiettyjä tietoja, jotka ovat tarpeen käyttäjäntodentamisprosessissa ja jotka ovat seuraavan esimerkin muodossa:

177

Täsmällisemmin todettuna hyperlinkissä ”Kirjaudu Facebook-tiliä käyttäen” olevat tiedot ovat seuraavat:

–

ensinnäkin osa ”client_id=1200572836629487” sisältää ”yksilöllisen tunnistekoodin”, joka tunnistaa EU Loginin sovelluksena. Kyseinen tunnistenumero on sama kaikkien niiden käyttäjien osalta, jotka haluavat tehdä käyttäjäntodentamisen EU Loginiin Facebookia käyttäen

–

toiseksi osa ”redirect_uri=https%3A%2F%2Fecas.ec.europa.eu%2Fcas%2FoAuthCallback” sisältää EU Loginin yleisen URL-osoitteen, joka on osoite, johon Facebookin on ohjattava käyttäjä tämän annettua suostumuksensa siihen, että Facebook välittää henkilötietoja EU Loginiin

–

kolmanneksi osa ”scope=email” sisältää tiedot, jotka Facebookin on välitettävä EU Loginille käyttäjän menestyksekkään todentamisen varmistamiseksi, ja johon kuuluvat erityisesti käyttäjän sähköpostiosoite sekä Facebook-sivustolla Facebook-tilin luomisen yhteydessä annettu etu- ja sukunimi

–

neljänneksi osa ”state=useFacebook” merkitsee sitä, että tätä seuraava pitkä merkkiketju on satunnainen turva-arvo, jota käytetään tietoturvahyökkäysten välttämiseksi ja joka on voimassa vain tietyn ajan. EU Login luo satunnaisen turva-arvon satunnaisesti, ja se toimii salalauseena, joka Facebookin on toistettava, kun se välittää tietoja EU Loginiin, jotta EU Login tietää, että sähköpostiosoite ja etu- ja sukunimi, jotka on ilmoitettu, koskevat käyttäjää, joka käynnisti todentamismenetelmän. Kun määräaika on päättynyt tai käyttäjä on jo todennettu, turva-arvoa ei ole enää mahdollista käyttää, ja

–

viidenneksi osa ”response_type=code” merkitsee sitä, että siihen, että Facebook välittää tietoja EU Loginiin, liittyy vielä ainutkertainen koodi. Ainutkertainen koodi sisältää edellä mainitun satunnaisen turva-arvon. Ainutkertainen koodi vastaa ainutkertaista rekisteröintinumeroa tai sarjanumeroa, joka todentaa Facebookin EU Loginille välittämät tiedot.

178

Kun käyttäjä pääsee Facebookin URL-osoitteeseen, hän on kyseisellä internetsivustolla, jolla näytetään ensiksi ikkuna, jossa pyydetään käyttäjää suostumaan Facebookin evästeiden (”cookies”) käyttöön. Jos evästeet hyväksytään, avautuu toinen ikkuna, jossa on mahdollista täyttää Facebookin käyttäjän tilin käyttäjätunnus ja salasana. Kun käyttäjä on kirjautunut Facebook-tililleen, hän voi antaa Facebookin käyttää muissa sovelluksissa ja muilla internetsivustoilla olevia evästeitä vastaamalla kysymykseen ”Allow Facebook to use cookies and similar technologies placed on other apps and websites?” Jos käyttäjä antaa suostumuksensa tähän käyttöön, häntä pyydetään seuraavaksi suostumaan siihen, että Facebook toimittaa EU Loginille etu- ja sukunimen, profiilikuvan ja sähköpostiosoitteen, jotka liittyvät hänen Facebook-tiliinsä. Käyttäjä voi lisäksi koko prosessin ajan keskeyttää todentamisen Facebook-tilinsä välityksellä valitsemalla vaihtoehdon ”Cancel". Tässä tilanteessa hänet ohjataan takaisin EU Login ‑sivustolle, jossa näytetään uudelleen sisäänkirjautumisvaihtoehdot sisältävä sivu.

179

Käsiteltävässä asiassa tapahtui niin, että kantajan klikattua hyperlinkkiä ”Kirjaudu Facebook-tiliä käyttäen” hänen verkkoselaimensa pääsi Facebookin internetsivuston URL-osoitteeseen ja ilmoitti tämän seurauksena hänen IP-osoitteensa kyseiselle internetsivustolle. Kun kantaja oli Facebookin internetsivustolla, hän valitsi vaihtoehdot, joiden mukaan Facebook sai käyttää yksinomaan välttämättömiä evästeitä, kirjautui Facebook-tililleen ja salli Facebookin kommunikoida EU Loginille etu- ja sukunimensä, profiilikuvansa ja sähköpostiosoitteena sellaisina kuin hän oli ne Facebook-tilillään ilmoittanut.

180

Kantajan antamien suostumusten perusteella Facebook ohjasi hänet uudelleen EU Login ‑internetsivustolle hyperlinkissä ”Kirjaudu Facebook-tiliä käyttäen” olevien tietojen mukaisesti (ks. edellä 177 kohdan ensimmäinen ja toinen luetelmakohta).

181

Samanaikaisesti Facebook ilmoitti EU Loginille edellä 177 kohdan neljännessä ja viidennessä luetelmakohdassa mainitun satunnaisen turva-arvon ja ainutkertaisen koodin. Yhtäältä tämän Facebookin toteuttaman ilmoituksen ansiosta EU Login tiesi, että Facebookin sen käyttöön asettamat henkilötiedot koskivat käyttäjää, joka oli käynnistänyt todentamisprosessin ja joka käsiteltävässä asiassa oli kantaja. Toisaalta se antoi EU Loginille pääsyn tietyn ajan edellä 177 kohdan kolmannessa luetelmakohdassa mainittuihin henkilötietoihin eli muun muassa kantajan etu- ja sukunimeen ja sähköpostiosoitteeseen sellaisina kuin hän on ne Facebook-tilillään ilmoittanut. Se, että Facebook siirsi kyseiset tiedot EU Loginille, tehtiin niiden välistä salattua yhteyttä käyttäen. EU Login todensi kantajan sähköpostiosoitteen Facebookin käyttöön antamien tietojen perusteella.

182

On lisäksi huomattava, että verkkoyhteisöpalvelu Facebookin omistaa Yhdysvaltoihin sijoittautunut yhtiö Meta Platforms.

183

On myös todettava, että kyseisen hyperlinkin esittämiseen EU Login ‑sivustolla sovelletaan Facebook-alustan yleisiä ehtoja, joihin voi tutustua internetosoitteessa ”https://developers.facebook.com/terms”.

184

Nämä seikat huomioiden on tutkittava, täyttyvätkö komission sopimussuhteen ulkopuolista vastuuta koskevat edellytykset.

185

Kantaja väittää lähinnä, että kun hän kirjautui EU Loginiin 30.3.2022, hänen henkilötietojaan – muun muassa hänen IP-osoitteensa – siirrettiin verkkoyhteisöpalvelu Facebookin, jonka omistajayritys on sijoittautunut Yhdysvaltoihin, palvelimille. Kantajan mukaan tämä siirto tehtiin asetuksen 2018/1725 46 artiklan vastaisesti, ja se aiheutti hänelle aineetonta vahinkoa, joka muodostui siitä, että hän ei voinut enää valvoa kyseisiä tietoja ja että hänen oikeuksiaan ja vapauksiaan evättiin.

186

Aluksi on muistutettava, että kuten edellä 95 kohdasta ilmenee, asetuksen 2018/1725 46 artiklassa tarkoitettu henkilötietojen siirto kolmanteen maahan edellyttää sitä, että unionin toimielin, elin tai laitos asettaa siirtämällä tai muulla tavoin henkilötietoja kolmanteen maahan eli maahan, joka ei ole unionin eikä ETA:n jäsen, sijoittautuneen vastaanottajan käyttöön.

187

Käsiteltävässä asiassa on osoitettu, että ensinnäkin EU Loginiin kirjautumista koskevista vaihtoehdoista kantaja valitsi kirjautumisen Facebook-tiliään käyttäen. Toiseksi hyperlinkki ”Kirjaudu Facebook-tiliä käyttäen” sisältää linkin Facebookin internetsivuston URL-osoitteeseen. Kolmanneksi kantajan aktivoitua hyperlinkin sitä klikkaamalla hänen verkkoselaimensa pääsi Facebookin internetsivuston URL-osoitteeseen ja välitti tämän jälkeen hänen IP-osoitteensa Facebookille (ks. edellä 173–175 kohta).

188

Tästä seuraa, että EU Login ‑sivustolla olleen hyperlinkin ”Kirjaudu Facebook-tiliä käyttäen” välityksellä komissio loi edellytykset, jotka mahdollistivat kantajan IP-osoitteen välittämisen Facebookille. Kyseinen IP-osoite on kantajan henkilötieto (ks. edellä 122 kohta), joka – kyseisen hyperlinkin välityksellä – siirrettiin Meta Platformsille, joka on Yhdysvaltoihin sijoittautunut yritys. Mainittu välittäminen merkitsee siis asetuksen 2018/1725 46 artiklassa tarkoitettua henkilötietojen siirtoa kolmanteen maahan.

189

Käsiteltävässä asiassa on myös osoitettu, että kyseisen tietojensiirron toteuttamishetkellä eli 30.3.2022 Yhdysvaltojen osalta ei ollut olemassa asetuksen 2018/1725 47 artiklassa tarkoitettua tietosuojan riittävyyttä koskevaa päätöstä (ks. edellä 100 kohta).

190

Koska komissio ei ole antanut tietosuojan riittävyyttä koskevaa päätöstä Yhdysvaltojen osalta, henkilötietoja voidaan siirtää kolmanteen maahan tai kansainväliselle järjestölle vain, jos rekisterinpitäjä tai henkilötietojen käsittelijä on toteuttanut asianmukaiset suojatoimet ja jos rekisteröidyllä on käytettävissään täytäntöönpanokelpoisia oikeuksia ja tehokkaita oikeussuojakeinoja asetuksen 2018/1725 48 artiklan 1 kohdan mukaisesti (ks. edellä 101 kohta).

191

Käsiteltävässä asiassa komissio ei ole osoittanut eikä edes väittänyt, että oli olemassa asianmukainen suojatoimi eli erityisesti tietosuojaa koskeva vakiolauseke taikka sopimuslauseke, jotka on hyväksytty asetuksen 2018/1725 48 artiklan 2 ja 3 kohdassa säädetyin edellytyksin (ks. edellä 102–104 kohta). On sen sijaan osoitettu, että hyperlinkin ”Kirjaudu Facebook-tiliä käyttäen” esittämiseen EU Login ‑sivustolla sovelletaan yksinomaan Facebook-alustan yleisiä ehtoja (ks. edellä 183 kohta).

192

Näin ollen komissio loi edellytykset sille, että kantajan henkilötietoja siirrettiin kolmanteen maahan, noudattamatta kuitenkaan asetuksen 2018/1725 46 artiklassa vahvistettuja edellytyksiä.

193

Tarvitsematta tutkia kantajan muita argumentteja on siis katsottava, että komissio syyllistyi asetuksen 2018/1725 46 artiklan edellä 50 kohdassa mieleen palautetussa oikeuskäytännössä tarkoitettuun riittävän ilmeiseen rikkomiseen, kun on kyse riidanalaisesta siirrosta kirjauduttaessa EU Loginiin 30.3.2022

194

On siis tutkittava, täyttyvätkö käsiteltävässä asiassa muut sopimussuhteen ulkopuolista komission vastuuta koskevat edellytykset, jotka liittyvät vahinkoon ja syy-yhteyteen.

195

Kantaja väittää, että hänen IP-osoitteensa lainvastainen siirto Yhdysvaltoihin sijoittautuneelle yritykselle aiheutti hänelle aineetonta vahinkoa, joka muodostui siitä, että hän ei voinut enää valvoa kyseisiä tietoja ja että hänen oikeuksiaan ja vapauksiaan evättiin.

196

Tämän osalta on katsottava, että asetuksen 2018/1725 65 artiklassa annetaan oikeus paitsi aineellisen myös aineettoman vahingon korvakseen asetuksen rikkomisen vuoksi eikä minkäänlaista vakavuuskynnystä tarvitse osoittaa (ks. vastaavasti ja analogisesti tuomio 4.5.2023, Österreichische Post (Henkilötietojen käsittelyyn liittyvä aineeton vahinko), C‑300/21, EU:C:2023:370, 45 ja 51 kohta).

197

Käsiteltävässä asiassa kantajan mainitsemaa aineetonta vahinkoa on pidettävä edellä 54 kohdassa mieleen palautetussa oikeuskäytännössä tarkoitettuna todellisena ja varmana sikäli kuin edellä 188 kohdassa mainittu siirto, joka tehtiin asetuksen 2018/1725 46 artiklan vastaisesti, saattoi kantajan epävarmuuden tilaan hänen henkilötietojensa ja erityisesti hänen IP-osoitteensa käsittelyn osalta.

198

Komission asetuksen 2018/1725 46 artiklan rikkomisen ja kantajalle aiheutuneen aineettoman vahingon välillä on lisäksi olemassa edellä 55 kohdassa mieleen palautetussa oikeuskäytännössä tarkoitettu riittävän suora syy-yhteys.

199

Käsiteltävän asian olosuhteissa komission aiheuttaman aineettoman vahingon kohtuulliseksi määräksi on arvioitava 400 euroa.

200

Komissio on näin ollen velvoitettava maksamaan kantajalle 400 euron suuruinen summa sen aineettoman vahingon vuoksi, joka aiheutui riidanalaisesta siirrosta kirjauduttaessa EU Loginiin 30.3.2022.

Oikeudenkäyntikulut

201

Unionin yleisen tuomioistuimen työjärjestyksen 134 artiklan 3 kohdassa määrätään, että jos asiassa osa vaatimuksista ratkaistaan toisen asianosaisen ja osa toisen asianosaisen hyväksi, kukin asianosainen vastaa omista kuluistaan. Unionin yleinen tuomioistuin voi kuitenkin päättää, että asianosainen vastaa omista kuluistaan ja se velvoitetaan korvaamaan suhteellinen osuus vastapuolen kuluista, jos tämä on perusteltua asiassa ilmenneiden seikkojen vuoksi.

202

Käsiteltävässä asiassa kantaja on hävinnyt ensimmäisen ja toisen vaatimuksensa sekä osan kolmannesta vaatimuksestaan. Kolmas vaatimus on kuitenkin osittain hyväksytty, ja komissio velvoitetaan maksamaan korvaus, jota kantaja on vaatinut sen aineettoman vahingon korvaamiseksi, joka hänelle aiheutui riidanalaisen siirron vuoksi kirjauduttaessa EU Loginiin 30.3.2022. Tässä tilanteessa on katsottava, että komissio vastaa omista oikeudenkäyntikuluistaan, ja se velvoitetaan korvaamaan puolet kantajan oikeudenkäyntikuluista. Kantaja vastaa puolesta omia oikeudenkäyntikulujaan.

1)

Kanne jätetään tutkimatta kumoamisvaatimusten osalta.

2)

Lausunnon antaminen vaatimuksista, joilla pyritään siihen, että Euroopan komission todettaisiin pidättyneen lainvastaisesti ottamasta kantaa Thomas Bindlin 1.4.2022 tekemään tietojensaantipyyntöön, raukeaa.

3)

Komissio velvoitetaan maksamaan Thomas Bindlille 400 euron suuruinen summa tälle aiheutuneen aineettoman vahingon korvaukseksi.

4)

Vahingonkorvausvaatimukset hylätään muilta osin.

5)

Komissio vastaa omista oikeudenkäyntikuluistaan, ja se velvoitetaan korvaamaan puolet Thomas Bindlin oikeudenkäyntikuluista.

6)

Thomas Bindl vastaa puolesta omia oikeudenkäyntikulujaan.