1

Kantaja Data Protection Commission, joka on henkilötietojen suojaa valvova viranomainen Irlannissa, vaatii SEUT 263 artiklaan perustuvilla kanteillaan, että unionin yleinen tuomioistuin kumoaa osittain Euroopan tietosuojaneuvoston (jäljempänä tietosuojaneuvosto) 5.12.2022 antamat sitovat päätökset 3/2022, 4/2022 ja 5/2022, jotka koskevat Facebook-yhteisöpalvelua, Instagram-yhteisöpalvelua ja WhatsApp-viestipalvelua koskevista kantajan päätösehdotuksista johtuvia asianomaisten valvontaviranomaisten välisiä riitoja, siltä osin kuin kyseisissä sitovissa päätöksissä edellytetään, että kantaja tekee näiden sovellusten yhteydessä suoritettavasta tietojenkäsittelystä uusia tutkimuksia ja laatii niiden perusteella täydentäviä päätösehdotuksia.

Tosiseikat ja asian käsittelyn vaiheet

6

Muiden osallistuvien valvontaviranomaisten kanssa käytyjen keskustelujen jälkeen kantaja totesi, ettei vastalauseista sen päätösehdotukseen voitu päästä yksimielisyyteen, ja saattoi asian asetuksella 2016/679 käyttöön otetun yhdenmukaisuusmekanismin puitteissa ja kyseisen asetuksen 60 artiklan 4 kohdan mukaisesti tietosuojaneuvoston käsiteltäväksi.

7

Tarkasteltuaan kolmea asiakirja-aineistoa tietosuojaneuvosto antoi 5.12.2022 asetuksen 2016/679 65 artiklan 1 kohdan a alakohdan perusteella sitovat päätökset 3/2022, 4/2022 ja 5/2022. Tietosuojaneuvosto katsoi näissä kolmessa sitovassa päätöksessä ensinnäkin, että suurin osa kantajan päätösehdotuksesta esitetyistä vastalauseista oli merkityksellisiä ja perusteltuja asetuksen 2016/679 4 artiklan 24 alakohdassa tarkoitetussa merkityksessä ja että se saattoi ottaa kantaa niissä esiin tuotuihin kysymyksiin. Tässä yhteydessä tietosuojaneuvosto hyväksyi asiasisällön osalta useat näistä vastalauseista, joita se piti merkityksellisinä ja perusteltuina.

Asianosaisten vaatimukset

15

Kantaja vaatii, että unionin yleinen tuomioistuin

–

kumoaa asiassa T‑70/23 tietosuojaneuvoston sitovan päätöksen 3/2022 198 kohdan toisen virkkeen ja 487 kohdan toisen virkkeen

–

kumoaa asiassa T‑84/23 tietosuojaneuvoston sitovan päätöksen 4/2022 203 kohdan toisen virkkeen ja 454 kohdan toisen virkkeen

–

kumoaa asiassa T‑111/23 tietosuojaneuvoston sitovan päätöksen 5/2022 222 kohdan ja 326.8 kohdan

–

velvoittaa kaikissa kolmessa asiassa tietosuojaneuvoston korvaamaan sille aiheutuneet oikeudenkäyntikulut.

16

Tietosuojaneuvosto vaatii kaikissa kolmessa asiassa, että unionin yleinen tuomioistuin

–

hylkää kanteet

–

toissijaisesti rajoittaa riidanalaisten päätösten kumoamisen niiden merkityksellisiin osiin

–

velvoittaa kantajan korvaamaan oikeudenkäyntikulut.

Oikeudellinen arviointi

17

Kantaja esittää kaikissa kolmessa asiassa yhden ainoan kanneperusteen, jonka mukaan tietosuojaneuvosto on ylittänyt sille asetuksen 2016/679 65 artiklan 1 kohdan a alakohdassa annetun toimivallan, kun se kussakin kyseessä olevassa sitovassa päätöksessä on velvoittanut kantajan yhtäältä tekemään uuden tutkimuksen vielä tutkimatta olevista seikoista ja toisaalta esittämään saman asetuksen 60 artiklan 3 kohdan mukaisesti kyseisen uuden tutkimuksen tulosten perusteella täydentävän päätösehdotuksen.

Ainoa kanneperuste, jonka mukaan tietosuojaneuvostolla ei ollut toimivaltaa antaa riidanalaisia säännöksiä

29

Tämän täsmennyksen jälkeen on muistutettava, että vakiintuneen oikeuskäytännön mukaan unionin oikeuden säännöksen tulkitsemisessa on lähtökohtaisesti otettava huomioon paitsi sen sanamuoto myös sen asiayhteys ja sillä lainsäädännöllä tavoitellut päämäärät, jonka osa säännös on (ks. vastaavasti tuomio 29.11.2018, Mensing, C‑264/17, EU:C:2018:968, 24 kohta oikeuskäytäntöviittauksineen). Eräät kantajan argumentit perustuvat nyt käsiteltävässä tapauksessa myös näkökohtiin tai periaatteisiin, jotka menevät itse asetusta 2016/679 pidemmälle. Unionin yleinen tuomioistuin lausuu näin ollen tietosuojaneuvostolle asetuksen 2016/679 65 artiklan 1 kohdan a alakohdan mukaan kuuluvan toimivallan laajuudesta tutkimalla siltä osin kuin on tarpeen ensin argumentit, jotka kantaja on esittänyt kyseisen asetuksen sanamuodon mukaisen, asiayhteyteen perustuvan, teleologisen ja historiallisen tarkastelun yhteydessä, ja sitten argumentit, jotka koskevat unionin elimelle annetun toimivallan edellytyksiä, kansallisella tasolla harjoitettavan tuomioistuinvalvonnan ominaispiirteitä ja henkilötietojen suojasta vastaavien valvontaviranomaisten riippumattomuutta.

Argumentit, jotka koskevat tietosuojaneuvostolle asetuksen 2016/679 65 artiklan 1 kohdan a alakohdan mukaan kuuluvan toimivallan laajuutta ja jotka on esitetty kyseisen asetuksen sanamuodon mukaisen, asiayhteyteen perustuvan, teleologisen ja historiallisen tarkastelun yhteydessä

30

Kantaja vetoaa asetuksen 2016/67 65 artiklan 1 kohdan a alakohdan, 65 artiklan 6 kohdan ja 4 artiklan 24 alakohdan sanamuotoon ja väittää, ettei tietosuojaneuvostolla ole ensin mainitun säännöksen nojalla toimivaltaa velvoittaa antamassaan sitovassa päätöksessä johtavaa valvontaviranomaista laajentamaan tutkimustaan ja esittämään uuden päätösehdotuksen, jossa esitetään tämän täydentävän tutkimuksen johtopäätökset. Se vetoaa tältä osin myös kyseisen asetuksen johdanto-osan 126 ja 136 perustelukappaleeseen.

31

Asetuksen 2016/679 65 artiklan 1 kohdan a alakohdassa säädetään seuraavaa:

32

Asetuksen 2016/679 4 artiklan 24 alakohdan mukaan merkityksellisellä ja perustellulla vastalauseella tarkoitetaan seuraavaa:

33

Asetuksen 2016/679 65 artiklan 6 kohdassa säädetään erityisesti seuraavaa:

34

Kantajan mukaan asetuksen 2016/679 65 artiklan 1 kohdan a alakohdan perusteella annettavan tietosuojaneuvoston sitovan päätöksen ulottuvuus rajataan edellä 31–33 kohdassa mainituissa kolmessa säännöksessä niiden analyysien laajuuteen, jotka on esitetty johtavan valvontaviranomaisen muille osallistuville valvontaviranomaisille toimittamassa päätösehdotuksessa. Tällaisella sitovalla päätöksellä voidaan näet hyväksyä vain merkityksellinen ja perusteltu vastalause, jonka on liityttävä päätösehdotuksen sisältöön eikä siihen, mitä siihen ei sisälly. Sitovan päätöksen oikeusvaikutus koskee vain sellaisia suhteessa päätösehdotukseen tehtäviä muutoksia, jotka toimivaltaisen valvontaviranomaisen on saman asetuksen 65 artiklan 6 kohdan mukaisesti tehtävä lopulliseen päätökseen kuukauden kuluessa sitovan päätöksen tiedoksiantamisesta. Sitova päätös voi siten koskea ainoastaan asetuksen 2016/679 asianmukaista tulkintaa verrattuna johtavan valvontaviranomaisen päätösehdotuksessa esitettyyn, eikä kyseisissä säännöksissä anneta tietosuojaneuvostolle toimivaltaa antaa tälle viranomaiselle muita seikkoja koskevia ohjeita, esimerkiksi velvoittaa sitä suorittamaan tutkimus tai esittämään uusi päätösehdotus.

35

Edellä 31–33 kohdassa mainittujen säännösten sanamuoto huomioon ottaen tämä tulkinta on kuitenkin suppea. On näet muistettava, että asetuksen 2016/679 4 artiklan 24 alakohdan mukaan ”merkityksellisen ja perustellun vastalauseen” käsitteellä tarkoitetaan ”vastalausetta päätösehdotukseen, joka koskee sitä, onko tätä asetusta rikottu vai ei, – – ja jossa osoitetaan selvästi päätösehdotuksen aiheuttamien riskien merkitys rekisteröityjen perusoikeuksille ja ‑vapauksille”. Vaikka asetuksen 2016/679 65 artiklan 1 kohdan a alakohdassa säädetään, että sen perusteella annettu sitova päätös ”koskee kaikkia seikkoja, joista merkityksellinen ja perusteltu vastalause on esitetty”, mikään ei ole esteenä sille, että tällainen vastalause esitetään siitä, ettei johtavan valvontaviranomaisen päätösehdotuksessa ole analysoitu jotakin asiaan liittyvää näkökohtaa tai että sen analyysi on riittämätön, minkä vuoksi on mahdotonta tietää, onko kyseistä asetusta tässä yhteydessä rikottu vai ei. Toisin kuin kantaja väittää, ilmaisua ”vastalause päätösehdotukseen” ei ole rajattu siten, että se koskee vain vastalauseita päätösehdotuksessa esitettyihin seikkoihin. Koska tietosuojaneuvoston sitovan päätöksen on koskettava kaikkia kysymyksiä, joista on esitetty merkityksellisiä ja perusteltuja vastalauseita, mikään ei ole siten esteenä sille, että kun tietosuojaneuvosto hyväksyy tämän kaltaista puutetta tai riittämättömyyttä koskevan merkityksellisen ja perustellun vastalauseen, johtava valvontaviranomainen velvoitetaan tässä päätöksessä korjaamaan kyseinen puute analyysissään ja syventämään tai laajentamaan tältä osin tähän mennessä suorittamaansa tutkimusta, jos se tietosuojaneuvoston käytettävissä oleva asiakirja-aineisto huomioon ottaen on tarpeen. Jos näet on ilmeistä, että asiakirja-aineisto on vaadittavan analyysin täysimääräisen suorittamisen kannalta riittämätön, on tämän johdettava siihen, että tietosuojaneuvosto voi velvoittaa johtavan valvontaviranomaisen suorittamaan täydentävän tutkimuksen.

36

On myös todettava, että edellä 31–33 kohdassa lainatun kolmen säännöksen, kun niitä tarkastellaan yhdessä, sanamuodossa sitovan päätöksen ala ei ole rajattu pelkästään niihin välittömiin muutoksiin, joita johtavan valvontaviranomaisen esittämään päätösehdotukseen on tehtävä, jotta lopullinen päätös voidaan antaa asetuksen 2016/679 65 artiklan 6 kohdassa täsmennetyin edellytyksin, eli pelkästään päätösehdotuksen sisältöä koskeviin muutoksiin eikä siihen, mitä päätösehdotukseen ei sisälly. Toisin kuin kantaja väittää, tässä yhteydessä on todettava, että viimeksi mainitulla säännöksellä pyritään vain täsmentämään lopullisen päätöksen antamista koskevia yksityiskohtia tilanteessa, jossa päätöksessä on heti mahdollista noudattaa tietosuojaneuvoston sitovaa päätöstä, erityisesti silloin, kun tutkimuksen jatkaminen tai asiakirja-aineiston tiettyjen näkökohtien laajempi tai perusteellisempi analysointi ei ole tarpeen. Kyse ei ole säännöksestä, joka koskisi sitovan päätöksen mahdollista sisältöä, joka määräytyy sen oikeusperustan, jonka nojalla kyseinen päätös annetaan, perusteella, eli tässä tapauksessa asetuksen 2016/679 65 artiklan 1 kohdan a alakohdan perusteella, jota puolestaan on luettava yhdessä kyseisen asetuksen 4 artiklan 24 alakohdan kanssa siltä osin kuin kyse on merkityksellisen ja perustellun vastalauseen käsitteen määritelmästä. Tässä yhteydessä on korostettava, että asetuksen 2016/679 65 artiklan 1 kohdassa säädetään erityyppisistä tietosuojaneuvoston sitovista päätöksistä, jotka eivät välttämättä merkitse sitä, että valvontaviranomainen antaa niiden jälkeen lopullisen päätöksen välittömästi.

38

Toisin kuin kantaja väittää, asetuksen 2016/679 johdanto-osan 126 ja 136 perustelukappaleen sanamuoto ei horjuta edellä 35 ja 36 kohdassa 31–33 kohdassa aiemmin mainituista kolmesta säännöksestä tehtyä sanamuodon mukaista analyysiä. Kun näistä johdanto-osan perustelukappaleista ensin mainitussa todetaan, että ”johtavan valvontaviranomaisen ja asianomaisten valvontaviranomaisten olisi sovittava yhdessä kyseisestä päätöksestä”, lainsäätäjä ei missään tapauksessa jätä kysymystä analyysin, jonka tällaisen päätöksen yksittäistapauksessa on katettava, laajuudesta muiden osallistuvien valvontaviranomaisten kuin johtavan valvontaviranomaisen arvioinnin ulkopuolelle, koska päätös konkretisoituu paitsi sen sisältämissä arvioinneissa myös sen kattamien seikkojen laajuuden perusteella. Jos osallistuvat valvontaviranomaiset eivät pääse asiasta yksimielisyyteen ja asia saatetaan tietosuojaneuvoston käsiteltäväksi, johdanto-osan kyseisen perustelukappaleen sanamuodossa ei suljeta pois sitä, että tietosuojaneuvosto voi velvoittaa laajentamaa analyysiä ja tarvittaessa tutkimusta. Asetuksen 2016/679 johdanto-osan 136 perustelukappaleessa todetaan myös, että tietosuojaneuvoston ”olisi – – annettava – – oikeudellisesti sitovia päätöksiä selkeästi määritellyissä tapauksissa, joissa valvontaviranomaisten näkemykset poikkeavat toisistaan erityisesti johtavan valvontaviranomaisen ja asianomaisen valvontaviranomaisen välisessä yhteistyömenettelyssä tapauksen asiaratkaisun suhteen ja erityisesti sen suhteen, onko tätä asetusta rikottu”. Toisin kuin kantaja väittää, tutkimuksen laajuus ei ole menettelyyn liittyvä kysymys vaan se koskee asiakirja-aineiston asiasisältöä, sillä se määrittää sen, mitä on tutkittava, laajuuden arvioitaessa sitä, onko kyseinen tietojenkäsittely tai kyseiset tietojenkäsittelyt yhteensopivia asetuksen 2016/679 kanssa.

39

Tässä yhteydessä voidaan heti hylätä kantajan toinen argumentti, jonka mukaan edellä 35 kohdassa esitetty tulkinta ”merkityksellisen ja perustellun vastalauseen” käsitteestä antaisi tietosuojaneuvostolle mahdollisuuden antaa johtavalle valvontaviranomaiselle kaikkia tälle viranomaiselle kuuluvia toimivaltuuksia koskevia määräyksiä pelkästään sillä edellytyksellä, että jonkin osallistuvan valvontaviranomaisen esiin nostamaa kysymystä voidaan näin vahvistetussa merkityksessä luonnehtia merkitykselliseksi ja perustelluksi vastalauseeksi. Kuten asetuksen 2016/679 4 artiklan 24 alakohdassa todetaan, merkityksellinen ja perusteltu vastalause johtavan valvontaviranomaisen päätösehdotukseen voi koskea ainoastaan sitä, onko kyseistä asetusta noudatettu tai ovatko rekisterinpitäjään tai henkilötietojen käsittelijään kohdistettavat suunnitellut korjaavat toimenpiteet itsessään asetuksen mukaisia. Tällainen vastalause voi siten koskea ainoastaan asiakirja-aineiston asiasisältöä ja johtavan valvontaviranomaisen lopullisia päätöksentekovaltuuksia, joista säädetään erityisesti saman asetuksen 58 artiklan 2 kohdassa ja jotka liittyvät myös asiakysymykseen. Tällainen vastalause ei voi siten koskea tutkimuksen varsinaista suorittamista (toisin kuin tutkimuksen laajuutta), joka perustuu asetuksen 2016/679 58 artiklan 1 kohdassa mainittuihin valvontaviranomaisten tutkintavaltuuksiin.

40

Asetuksen 2016/679 65 artiklan 1 kohdan a alakohdan sanamuodon mukainen tarkastelu, jossa huomioon otetaan saman asetuksen 4 artiklan 24 alakohdan, 65 artiklan 6 kohdan sekä johdanto-osan 126 ja 136 perustelukappaleen sanamuodot, tukee siten tietosuojaneuvoston toimivaltaa antaa riidanalaisten säännösten kaltaisia säännöksiä, joissa kantajalle annetaan ohjeet suorittaa uusi tutkimus tietyistä kyseessä oleviin asioihin liittyvistä seikoista ja esittää sen jälkeen tältä osin uusia päätösehdotuksia. On tutkittava, ovatko kantajan argumentit, jotka on esitetty asetuksen 2016/679 asiayhteyteen perustuvan ja teleologisen tulkinnan yhteydessä, ristiriidassa tämän alustavan analyysin tulosten kanssa.

43

Toisin kuin kantaja väittää, tässä yhteydessä on todettava, että asetuksen 2016/679 60 artiklassa kuvailtu osallistuvien valvontaviranomaisten välinen yhteistyömenettely, johon voi sisältyä sen 4 kohdassa säädetyn yhdenmukaisuusmekanismin, josta tietosuojaneuvosto vastaa, käynnistäminen, ei ole ”yksisuuntainen” menettely, jossa vaiheet seuraavat aina toisiaan niiden säännösten mukaisessa järjestyksessä, joissa niistä säädetään, ilman, että edelliseen vaiheeseen palaaminen tai väliaikaisesti samaan vaiheeseen jääminen olisi mahdollista. Menettely voi edetä usealla tavalla, jos esimerkiksi lähdetään kantajan esiin tuomasta 5 kohdassa tarkoitetusta tilanteesta, jossa johtava valvontaviranomainen itse on aikonut noudattaa muiden osallistuvien valvontaviranomaisten vastalauseita 3 kohdan nojalla esittämäänsä päätösehdotukseen ja jossa se on esittänyt näille viranomaisille tarkistetun päätösehdotuksen. Jos kyseiset viranomaiset eivät vastusta tarkistettua ehdotusta, lopullinen päätös tai lopulliset päätökset annetaan tämän jälkeen suoraan 6–9 kohdan mukaisesti. Päinvastaisessa tapauksessa – eli jos tarkistetusta ehdotuksesta esitetään vastalauseita – on niin, että jos johtava valvontaviranomainen hyväksyy vastalauseet kokonaan tai osittain, 5 kohdassa säädetty vaihe toistuu, jolloin johtavan valvontaviranomaisen on esitettävä uusi tarkistettu ehdotus, jossa on otettu huomioon vastalauseet, jotka se on hyväksynyt. Jos johtava valvontaviranomainen ei hyväksy tarkistettua ehdotusta koskevia vastalauseita tai osaa niistä, sen on 4 kohdan mukaisesti käynnistettävä yhdenmukaisuusmekanismi saattamalla asia pisimmälle edistyneen tarkistetun päätösehdotuksen pohjalta tietosuojaneuvoston käsiteltäväksi.

44

Tietosuojaneuvosto esittää vastineessaan toisen esimerkin, joka osoittaa, ettei asetuksen 2016/679 60 artiklassa säädetty asiaan osallistuvien valvontaviranomaisten välinen yhteistyömenettely välttämättä ole ”yksisuuntainen”. Sen jälkeen, kun muut osallistuvat valvontaviranomaiset ovat esittäneet vastalauseita johtavan valvontaviranomaisen kyseisen artiklan 3 kohdan nojalla esittämästä päätösehdotuksesta, johtava valvontaviranomainen voi itse katsoa, että sen sijaan, että esitettäisiin suoraan tarkistettu päätösehdotus tai käynnistettäisiin yhdenmukaisuusmekanismi, on palattava taaksepäin ja syvennettävä tutkimusta ennen kuin päätösehdotus esitetään uudelleen saman 3 kohdan nojalla. Tietosuojaneuvosto toteaa, että Ranskan valvontaviranomainen on toiminut eräässä asiassa näin.

45

Useat eri vaihtoehdot ovat samalla tavoin mahdolliset myös tapauksessa, jossa tietosuojaneuvosto saman artiklan 4 kohdan nojalla puuttuu asiaan ja antaa sitovan päätöksen. Jos kaikkia tapauksen kannalta merkityksellisiä seikkoja on käsitelty johtavan valvontaviranomaisen päätösehdotuksessa riittävästi, johtava valvontaviranomainen tai tapauksen mukaan valvontaviranomainen, jolle kantelu on jätetty, voi antaa saman artiklan 6–9 kohdan perusteella asian käsittelyn päättävän lopullisen päätöksen tai päättävät lopulliset päätökset ottamalla erityisesti huomioon tietosuojaneuvoston sitovan päätöksen. Jos asiassa esitettyjen vastalauseiden johdosta tietosuojaneuvoston sitovassa päätöksessä sitä vastoin katsotaan, että johtavan valvontaviranomaisen päätösehdotuksessa ei käsitellä tai ei käsitellä riittävästi kaikkia tapauksen kannalta merkityksellisiä näkökohtia ja että tutkimus on tapauksen mukaan tämän vuoksi tarpeen aloittaa uudelleen, johtava valvontaviranomainen tai valvontaviranomainen, jolle kantelu on jätetty, voi antaa edellä mainittujen säännösten perusteella yhden tai useamman lopullisen osapäätöksen, mutta johtavan valvontaviranomaisen on samanaikaisesti täydennettävä analyysiään esittääkseen sen jälkeen, kun se on tarvittaessa suorittanut uuden tutkimuksen, saman artiklan 3 kohdan mukaisesti täydentävän päätösehdotuksen muille osallistuville valvontaviranomaisille.

46

Kantaja esittää asiayhteyteen perustuvan tulkinnan perusteella toisen argumentin, jonka mukaan asetuksen 2016/679 57 artiklan 1 kohdan f alakohta – jossa todetaan, että valvontaviranomainen käsittelee kantelut ja tutkii siinä määrin kuin se on asianmukaista niiden kohdetta –, kun sitä luetaan asetuksen 2016/679 johdanto-osan 141 perustelukappaleen valossa, osoittaa, että kysymys kantelun johdosta suoritettavan tutkimuksen laajuudesta kuuluu kansallisten valvontaviranomaisten harkintavaltaan pelkästään sillä varauksella, ettei kansallisesta tuomioistuinvalvonnasta muuta johdu.

47

Asetuksen 2016/679 johdanto-osan 141 perustelukappaleessa todetaan erityisesti seuraavaa:

48

Asetuksen 2016/679 57 artiklan 1 kohdan f alakohta ja kantajan esittämät näkökohdat eivät kuitenkaan johda siihen, että tutkimuksen tarkoituksenmukaista laajuutta koskeva kysymys jäisi osallistuvien valvontaviranomaisten välisen yhteistyömekanismin ja tietosuojaneuvoston harjoittaman yhdenmukaisuusvalvonnan ulkopuolelle.

49

Asetuksen 2016/679 57 artiklan, joka koskee kaikkia valvontaviranomaisten tehtäviä, 1 kohdan a alakohdassa säädetään niiden ensimmäiseksi tehtäväksi kyseisen asetuksen soveltaminen ja sen täytäntöönpanon valvonta. Toisin kuin kantaja istunnossa lähinnä väitti, olosuhteiden, joissa henkilötietojen käsittely suoritetaan, ja sen, onko käsittely kyseisen asetuksen mukaista, analysointia ei pidä rajata vain siihen, mitä kantelijan kantelussa korostetaan.

50

Asetuksen 2016/679 57 artiklan 1 kohdan a ja f alakohdassa säädettyjen tehtävien täysimääräinen täyttäminen, kyseisen asetuksen noudattamisen valvominen ja kantelujen käsitteleminen siinä määrin, kuin se on asianmukaista, edellyttävät ennen kaikkea, että asiaa koskevan asianmukaisen analyysin laajuudesta päätetään siten, että huomioon otetaan siihen johtanut kantelu sekä myös muut seikat, joilla kantelua voidaan täydentää. Koska kyseessä oleva henkilötietojen käsittely on rajat ylittävää, analyysin on johdettava sellaisten päätösten antamiseen, joihin sovelletaan mainitun asetuksen 60 artiklassa säädettyä yhteistyömenettelyä. Tässä menettelyssä kriteeri, jonka on täytyttävä, jotta tietosuojaneuvosto voi kyseisen asetuksen 65 artiklan 1 kohdan a alakohdan perusteella antaa kysymyksestä sitovan päätöksen, on se, että kysymyksestä on esitetty merkityksellinen ja perusteltu vastalause, sellaisena kuin se on saman asetuksen 4 artiklan 24 alakohdassa määritelty. Merkityksellinen ja perusteltu vastalause koskee määritelmänsä mukaisesti kuitenkin seikkoja, joiden analysointi selvästi kuuluu kumpaankin edellä mainittuun tehtävään. Näin ollen se, että merkityksellinen ja perusteltu vastalause koskee analyysin laajuutta sekä tarvittaessa tutkimuksen laajuutta ja että tietosuojaneuvosto toteuttaa vastalauseen johdosta jatkotoimia, ei millään tavoin vaaranna näitä tehtäviä. Se, että valvontaviranomaisten kantelun johdosta tekemiin välivaiheen päätöksiin voidaan hakea muutosta kansallisissa tuomioistuimissa, ei myöskään ole esteenä sille, että johtavan valvontaviranomaisen päätösehdotus puolestaan voi olla tietosuojaneuvoston valvonnan kohteena asetuksella 2016/679 käyttöön otetulle yhdenmukaisuusmekanismille asetettujen aineellisten rajojen puitteissa.

51

Kantajan asiayhteyteen perustuvan tulkinnan perusteella esittämillä argumenteilla ei näin ollen voida tukea sen kantaa, jonka mukaan tietosuojaneuvostolla ei ole toimivaltaa antaa riidanalaisia säännöksiä.

52

Osallistuvien valvontaviranomaisten välisen yhteistyövelvoitteen, joka on asetuksessa 2016/67 vahvistettu, yleinen asiayhteys päinvastoin vahvistaa tietosuojaneuvoston toimivallan tältä osin. Mainitun asetuksen 60 artiklan 1 kohdassa näet säädetään erityisesti, että ”johtavan valvontaviranomaisen on tehtävä tämän artiklan mukaisesti yhteistyötä muiden osallistuvien valvontaviranomaisten kanssa ja [pyrittävä] näin konsensukseen”. Saman asetuksen 60 artiklan 3 kohdassa täsmennetään, että ”johtavan valvontaviranomaisen on viipymättä ilmoitettava asiaa koskevat olennaiset tiedot muille osallistuville valvontaviranomaisille” ja että sen on toimitettava niille päätösehdotus ”viipymättä – – lausuntoa varten ja otettava niiden näkemykset asianmukaisesti huomioon”.

53

Tästä seuraa, että osallistuvien valvontaviranomaisten välinen yhteistyö liittyy erityisesti tapauksen analysointiin kokonaisuudessaan sekä päätöksen valmisteluun ja että johtavan valvontaviranomaisen on pyrittävä tässä yhteydessä yhteisymmärrykseen muiden osallistuvien valvontaviranomaisten kanssa. Edellä mainittuihin säännöksiin ei sisälly mitään sellaista, jonka perusteella kysymys tehtävän analyysin laajuudesta tai tarvittaessa kysymys suoritettavan edeltävän tutkimuksen laajuudesta voitaisiin jättää tämän yhteistyövelvollisuuden ulkopuolelle. Unionin tuomioistuin muistutti 15.6.2021 antamassaan tuomiossa Facebook Ireland ym. (C‑645/19, EU:C:2021:483, 63 ja 64 kohta) osallistuvien valvontaviranomaisten välisen vuoropuhelun sekä lojaalin ja tehokkaan yhteistyön välttämättömyydestä.

54

Edellä 41–53 kohdasta ilmenee, että asetuksen 2016/679 säännösten asiayhteyteen perustuva tarkastelu vahvistaa aiemman sanamuodon mukaisen analyysin.

55

Kantaja väittää teleologisen tulkinnan perusteella ensinnäkin, että jos katsotaan, että tietosuojaneuvostolla on toimivalta velvoittaa johtava valvontaviranomainen laatimaan täydentävä päätösehdotus ja laajentamaan ensin tutkimuksensa laajuutta tätä varten, olisi se ristiriidassa ”yhden luukun” järjestelmän, jonka lainsäätäjä halusi ottaa käyttöön antaessaan asetuksen 2016/679, tavoitteiden kanssa. Sillä, että asianomaisia varten otettiin käyttöön yksi ainoa valvontaviranomainen, pyrittiin erityisesti välttämään aiheuttamasta niille tarpeettomia kustannuksia ja liiallisia haittoja, kuten kyseisen asetuksen johdanto-osan 129 perustelukappaleessa todetaan. Se, että tutkimus aloitetaan uudelleen pelkän valvontaviranomaisten välisen erimielisyyden vuoksi, olisi vastoin tätä tavoitetta, koska kantelijat ja asianomaiset yritykset velvoitettaisiin suostumaan siihen, että tutkimus kustannuksineen ja haittoineen aloitetaan uudelleen, vaikka tämän vaiheen piti olla jo päättynyt.

56

Ilman, että olisi tarpeen lausua lainsäätäjän aikomuksista, on riittävää todeta, että yhden luukun järjestelmä täyttää luonteeltaan menettelyllisen yksinkertaistamisen tavoitteen, joka ei voi olla etusijalla asetuksen 2016/679 keskeiseen tavoitteeseen nähden, joka on sen varmistaminen, että luonnollisten henkilöiden perusoikeutta henkilötietojensa suojaan kunnioitetaan. Kyseisen asetuksen johdanto-osan ensimmäisessä perustelukappaleessa muistutetaan tältä osin, että perusoikeuskirjan 8 artiklan 1 kohdan ja SEUT 16 artiklan 1 kohdan mukaan jokaisella on oikeus henkilötietojensa suojaan. Toisin kuin kantaja väittää, tutkimuksen laajentamisella, jota vähintään puolet valvontaviranomaisista tietosuojaneuvostossa on väistämättä pyytänyt, ei pyritä hankaloittamaan kantelijan tai kantelun kohteena olevan rekisterinpitäjän tehtävää, vaan se on toimenpide, jolla pyritään puolustamaan niiden oikeuksia. Kantajan mainitsemat haitat voidaan sitä paitsi välttää johtavan valvontaviranomaisen tutkimuksella ja analyysillä, jotka alusta alkaen kattavat kaikki seikat, jotka ovat tarpeen kyseessä olevaa tapausta koskevan lopullisen täydellisen päätöksen laatimiseksi.

57

Myös kantajan väite siitä, että tutkimuksen aloittaminen uudelleen viivästyttää jo analysoitujen ja ratkaistujen seikkojen lopullista ratkaisemista, on hylättävä.

58

Kuten kantaja nyt käsiteltävässä tapauksessa on tehnytkin, toimivaltaisen viranomaisen on näet tällaisessa tilanteessa päinvastoin annettava lopullinen päätös aineellisista näkökohdista, jotka tietosuojaneuvoston sitovan päätöksen jälkeen on analysoitu ja ratkaistu, asetuksen 2016/679 65 artiklan 6 kohdassa säädetyssä määräajassa. Tämä ei estä sitä suorittamasta täydentävää tutkimusta ja analysoimasta tapaukseen liittyviä seikkoja, joita ei vielä ole tutkittu.

59

Kantaja väittää vielä, että se, että tietosuojaneuvosto ei osallistu tapauksessa tehtävän analyysin laajuuden määrittämiseen, mikä on alustava tai menettelyyn liittyvä kysymys, ei estä valvontaviranomaisten välisen yhteistyömekanismin toimintaa.

60

Yhteistyömekanismin rajat tulevat kuitenkin vastaan silloin, kun osallistuvat valvontaviranomaiset eivät saavuta yksimielisyyttä. Juuri tässä tilanteessa, josta nimenomaisesti säädetään asetuksen 2016/679 60 artiklan 4 kohdassa, johtavan valvontaviranomaisen on toimitettava kysymys, josta ei ole saavutettu yhteisymmärrystä, yhdenmukaisuusmekanismille, mikä johtaa tietosuojaneuvoston sitovaan päätökseen, kuten kyseisessä säännöksessä todetaan.

61

Kantaja väittää lopuksi, että tällainen yksimielisyyden puute voidaan ratkaista turvautumalla kansalliseen tuomioistuinvalvontaan. Se muistuttaa, että asetuksen 2016/679 58 artiklan 4 kohdassa ja johdanto-osan 141 perustelukappaleessa todetaan, että tutkimukseen voidaan kohdistaa tehokas tuomioistuinvalvonta.

62

Pitää paikkansa, että jos tietosuojaneuvosto ei pysty ratkaisemaan johtavan valvontaviranomaisen suorittaman analyysin laajuuteen liittyvää ongelmaa, kansallinen tuomioistuin voi puuttua asiaan tältä osin. Asetuksessa 2016/679 säädetään kuitenkin, että kyseisen asetuksen 4 artiklan 24 alakohdassa tarkoitetun, osallistuvan valvontaviranomaisen esittämän merkityksellisen ja perustellun vastalauseen yhteydessä esille tulevat ongelmat ratkaistaan valvontaviranomaisten kesken yhteistyömekanismilla ja tarvittaessa yhdenmukaisuusmekanismilla. Kuten edellä kuitenkin jo todettiin, johtavan valvontaviranomaisen tekemään analyysiin ja tarvittaessa sen suorittaman tutkimuksen laajuuteen liittyvä ongelma voi johtaa edellä mainittuun merkitykselliseen ja perusteltuun vastalauseeseen. Se, että tämän luontoinen ongelma voidaan saattaa kansallisen tuomioistuimen käsiteltäväksi – mikä sitä paitsi ei välttämättä ole helppoa sellaisen kantelijan kannalta, joka asuu muussa valtiossa kuin missä johtava valvontaviranomainen toimii –, ei voi merkitä sitä, ettei osallistuvien valvontaviranomaisten välisiä jatkuvia erimielisyyksiä kysymyksistä, joista on esitetty merkityksellisiä ja perusteltuja vastalauseita, voitaisi ratkaista tietosuojaneuvostossa.

63

Edellä 55–62 kohdasta ilmenee, että myös asetuksen 2016/679 tavoitteiden tarkastelu vahvistaa edellä suoritetun sanamuotoon perustuvan analyysin.

Argumentit, jotka koskevat unionin elimelle annettavaa toimivaltaa koskevia edellytyksiä, kansallisella tasolla harjoitettavan tuomioistuinvalvonnan ominaispiirteitä ja henkilötietojen suojasta vastaavien valvontaviranomaisten riippumattomuutta

65

Kantaja katsoo ensinnäkin lähinnä, että toimivallan antamista unionin elimelle koskevat periaatteet eivät tee mahdolliseksi tulkita asetusta 2016/679 edellä olevista analyyseistä ilmenevällä tavalla eli siten, että tietosuojaneuvostolle annetaan kyseisessä asetuksessa riidanalainen toimivalta.

66

Kantaja viittaa SEU 5 artiklaan ja muistuttaa, että unioni voi toimia ainoastaan sille annetun toimivallan rajoissa. Tätä periaatetta sovelletaan unionin toimielimiin ja tietosuojaneuvoston kaltaisiin unionin elimiin. Lisäksi toimielimiin ja elimiin sovelletaan 13.6.1958 annettuun tuomioon Meroni v. korkea viranomainen (9/56, EU:C:1958:7) perustuvaa, unionin elimiin sovellettavaa Meroni-doktriinia, kuten unionin tuomioistuin totesi Euroopan arvopaperimarkkinaviranomaisen osalta 22.1.2014 antamassaan tuomiossa Yhdistynyt kuningaskunta v. parlamentti ja neuvosto (C‑270/12, EU:C:2014:18, 53 ja 54 kohta). Tämä doktriini edellyttää sitä, että unionin elinten toimivalta rajataan täsmällisesti ja että siihen voidaan kohdistaa kyseiselle elimelle vahvistettujen tavoitteiden osalta tuomioistuinvalvontaa. Edellä toisena mainitun tuomion 45 kohdassa todettiin erityisesti, että arvopaperimarkkinaviranomaisen toimivallalle, josta tässä asiassa oli kyse ja jonka unionin tuomioistuin lopulta vahvisti, on asetettu useita erilaisia kyseisen viranomaisen liikkumavaraa rajoittavia edellytyksiä ja kriteereitä. Unionin tuomioistuin täsmensi 15.7.2021 antamassaan Euroopan pankkiviranomaista (EPV) koskeneessa tuomiossa FBF (C‑911/19, EU:C:2021:599, 67 ja 75 kohta), että lainsäätäjän on eksplisiittisesti säädettävä unionin elimen toimivallasta ja että tähän toimivaltaan kohdistettavan tuomioistuinvalvonnan on oltava tiukkaa.

67

Nämä oikeuskäytännössä sovelletut periaatteet koskevat tietosuojaneuvostoa, joka on perustettu unionin elimeksi asetuksen 2016/679 68 artiklalla.

68

Aluksi on siten selvitettävä, voidaanko tässä tuomiossa aiemmin omaksutun tulkinnan perusteella katsoa, että silloin kun tietosuojaneuvosto velvoittaa johtavan valvontaviranomaisen laajentamaan analyysiään ja tarvittaessa tutkimustaan, sen toimivallan käytölle on ”asetettu useita erilaisia [sen] liikkumavaraa rajoittavia edellytyksiä ja kriteereitä”, kuten unionin tuomioistuin totesi EPV:n toimivallasta, joka oli riitautettu 22.1.2014 annettuun tuomioon Yhdistynyt kuningaskunta v. parlamentti ja neuvosto (C‑270/12, EU:C:2014:18) johtaneessa asiassa.

69

Kuten asetuksen 2016/679 65 artiklan 1 kohdan a alakohdasta, luettuna yhdessä kyseisen asetuksen 4 artiklan 24 alakohdan kanssa, ilmenee, toimivaltaa velvoittaa johtava valvontaviranomainen laajentamaan analyysiään ja tarvittaessa tutkimustaan voidaan käyttää vasta sen jälkeen, kun osallistuva valvontaviranomainen on esittänyt johtavan valvontaviranomaisen päätösehdotuksesta kyseessä olevan tapauksen osalta merkityksellisen ja perustellun vastalauseen, joka koskee sitä, että jostakin seikasta, joka liittyy kysymykseen siitä, ”onko – – asetusta [2016/679] rikottu vai ei, tai tapauksen mukaan sitä, onko rekisterinpitäjän tai henkilötietojen käsittelijän suhteen suunniteltu toimi [kyseisen] asetuksen mukainen”, ei ole tehty analyysiä ja jossa osoitetaan ”selvästi päätösehdotuksen aiheuttamien riskien merkitys rekisteröityjen perusoikeuksille ja ‑vapauksille ja tapauksen mukaan henkilötietojen vapaalle liikkuvuudelle unionin alueella”.

70

Asetuksen 2016/679 65 artiklan 2 ja 3 kohdan mukaan edellä mainitun toimivallan käyttäminen edellyttää lisäksi, että kahden kolmasosan enemmistö tietosuojaneuvostossa tai tietyissä olosuhteissa vähintään puolet sen jäsenistä, äänten mennessä tasan puheenjohtaja mukaan lukien, on hyväksynyt kyseisen merkityksellisen ja perustellun vastalauseen olennaisin osin ja sen edellyttämät jatkotoimet. Siten on tarpeen, että merkittävä osa valvontaviranomaisista vahvistaa sen, ettei kyseessä olevaan tapaukseen liittyvää tärkeää seikkaa ole analysoitu tai ettei sitä ole analysoitu riittävästi, ja sopii toimista, joihin johtavan valvontaviranomaisen on tilanteen korjaamiseksi ryhdyttävä. Tältä osin on otettava huomioon, että tietosuojaneuvosto itsessään koostuu merkittävästä määrästä tälle alalle erikoistuneita riippumattomia viranomaisia, ja näin ollen se, että niiden enemmistön samansuuntainen kanta tietosuojaneuvostossa antaa takeet tämän toimivallan käytön osalta. Lisäksi on niin, että vaikka edellä 69 kohdassa mainittu käsite "asianmukainen ja perusteltu vastalause" jättää varmuudella tilaa harkintavallalle erityisesti määritettäessä sitä, onko asianomainen rekisterinpitäjä tai henkilötietojen käsittelijä rikkonut asetusta 2016/679 tai onko jotakin seikkaa tutkittava tämän selvittämiseksi, kaikkien näiden kysymysten yhteydessä viitataan kuitenkin kyseisessä asetuksessa vahvistettuihin täsmällisiin oikeussääntöihin, mikä ei tee ”laajan harkintavallan” käyttämistä mahdolliseksi.

71

Tietosuojaneuvoston toimivallan, jonka kantaja on riitauttanut, rajaamisesta on yhteenvetona todettava yhtäältä, että toimivaltaa voidaan käyttää vain siinä tapauksessa, että johtavan valvontaviranomaisen tapauksen käsittelyn yhteydessä tekemässä analyysissä on havaittu selviä puutteita, joilla voi olla merkittäviä seurauksia, mikä ilmenee asetuksen 2016/679 4 artiklan 24 alakohdassa olevasta merkityksellisen ja perustellun vastalauseen määritelmästä, ja toisaalta, että toimivalta perustuu valvontaviranomaisten, joista tietosuojaneuvosto koostuu, edellä 70 kohdassa esitetyissä olosuhteissa tekemään kollektiiviseen arviointiin.

72

Sen osalta, onko lainsäätäjä "eksplisiittisesti" säätänyt kyseessä olevasta toimivallasta, on korostettava, että adverbi ”eksplisiittisesti” ja adverbit ”nimenomaisesti” ja ”selkeästi”, jotka ovat synonyymejä ja jotka viittaavat adjektiiveihin ”eksplisiittinen”, ”nimenomainen” ja ”selkeä”, merkitsevät sitä, ettei ilmaistusta seikasta ole epäselvyyttä. Edellä esitetystä sanamuodon mukaisesta, asiayhteyteen perustuvasta ja teleologisesta tulkinnasta seuraa, ettei siitä, että tietosuojaneuvostolla on kiistanalainen toimivalta, ja siten siitä, että lainsäätäjä on nimenomaisesti säätänyt kyseisestä toimivallasta, ole epäselvyyttä. Voidaan huomauttaa, että 15.7.2021 annetussa EPV:tä koskeneessa tuomiossa FBF (C‑911/19, EU:C:2021:599) EPV:n ohjeet, joiden antamista koskeva kyseisen viranomaisen toimivalta oli riitautettu, koskivat ”vähittäispankkituotteiden tuotehallintamenettelyjä”. Yhdessäkään kyseiseen viranomaiseen sovellettavassa säännöksessä ei ollut selvästi mainittu, että se voi antaa ohjeita tästä asiasta. Unionin tuomioistuin katsoi, että riidanalaiset ohjeet kuuluivat kyseisen toimivallan piiriin analysoituaan näiden säännösten kokonaisuutta eli EPV:n perustamisasetusta, jossa säädettiin yleisesti sen toimivallasta antaa ohjeita tiettyjä tarkoituksia varten, ja eri direktiivejä, jotka koskivat rahoituslaitoksia ja ‑tuotteita.

73

Lisäksi on todettava, että se, että tietosuojaneuvosto käyttää toimivaltaansa velvoittaa johtava valvontaviranomainen laajentamaan analyysiään ja tarvittaessa tutkimustaan, voi tosiaan olla tuomioistuinvalvonnan kohteena. Kantaja on nyt käsiteltävässä tapauksessa tosin päättänyt riitauttaa riidanalaiset säännökset yksinomaan tietosuojaneuvoston puuttuvan toimivallan perusteella kyseenalaistamatta konkreettista arviointia, jonka tietosuojaneuvosto on tiettyjen valvontaviranomaisten vastalauseista sen päätösehdotuksiin tehnyt ja joka on johtanut kyseisten säännösten antamiseen. Unionin tuomioistuimet voivat kuitenkin niille esitettyjen perusteiden rajoissa tarkistaa tällaisten säännösten aineellisen lainmukaisuuden ottamalla huomioon yksittäistapauksen olosuhteet. Erityisesti ne voivat ensin tarkistaa, onko tietosuojaneuvosto tällaisia säännöksiä antaessaan hyväksynyt todella valvontaviranomaisen esittämän, asetuksen 2016/679 4 artiklan 24 alakohdassa tarkoitetun merkityksellisen ja perustellun vastalauseen. Ne voivat toiseksi tarkistaa tällaisten säännösten, joissa annetaan valvontaviranomaisille ohjeita, keskeisen sisällön lainmukaisuuden.

74

Tämän tyyppinen tuomioistuinvalvonta on 15.7.2021 annetussa tuomiossa FBF (C‑911/19, EU:C:2021:599, 67 kohta) tarkoitetulla tavalla ”tiukkaa”. Laillisuusvalvontaa harjoittavan tuomioistuimen tehtävä ja menettelysäännöt sitovat sitä yleisesti, ja sen valvonta on väistämättä tiukkaa, jos se täyttää tehtävänsä täysimääräisesti näiden sääntöjen mukaisesti. Asiakysymysten osalta laillisuusvalvontaa harjoittava tuomioistuin harjoittaa riidanalaisen toimen toteuttajan käytettävissä olevan – tai siltä puuttuvan – harkintavallan suhteen tavanomaista valvontaa (lähtökohtaisesti oikeudellisten näkökohtien, tosiseikkojen toteamisen ja sidotun toimivallan osalta) tai rajoitettua valvontaa (lähtökohtaisesti monitahoisten teknisten näkökohtien osalta tai silloin, kun viranomaisella on harkintavaltaa, jolloin tuomioistuin määrää seuraamuksia ainoastaan ilmeisestä arviointivirheestä) (ks. vastaavasti ja analogisesti henkilötietojen suojaa koskeviin kansallisten viranomaisten päätöksiin kohdistuvasta kansallisen tuomioistuimen valvonnasta tuomio 7.12.2023, SCHUFA Holding (Jäännösveloista vapauttaminen), C‑26/22 ja C‑64/22, EU:C:2023:958, 68 ja 69 kohta).

75

Edellä 67–74 kohdasta seuraa, että toimivallan antamista unionin elimelle koskevat edellytykset eivät ole ristiriidassa tässä tuomiossa aiemmin suoritetun analyysin kanssa.

76

Toiseksi kantaja esittää eri syitä osoittaakseen sen, että kansalliset tuomioistuimet ovat ”asianmukainen foorumi” tutkimukseen kohdistuvien väitteiden käsittelemistä varten eli että niillä on siihen parhaat edellytykset.

77

Kuten edellä 62 kohdassa todettiin, unionin lainsäätäjä on kuitenkin päättänyt, että osallistuvien valvontaviranomaisten väliset jatkuvat erimielisyydet, jotka liittyvät jotakin tapausta koskevan analyysin laajuuteen ja tapauksen mukaan sen osalta suoritetun tutkimuksen laajuuteen, on soviteltava yhdenmukaisuusmekanismissa tietosuojaneuvostossa. Näin ollen kantajan argumentit, joilla pyritään osoittamaan, että kansalliset tuomioistuimet ovat ”asianmukainen foorumi” tutkimukseen liittyvien väitteiden käsittelemistä varten, ovat tehottomat.

78

Siltä osin kuin sekä kansallista tuomioistuinta että tietosuojaneuvostoa voidaan pyytää lausumaan analyysin ja tutkimuksen laajuudesta, on lisättävä, että SEUT 101 ja SEUT 102 artiklassa määrättyjen kilpailusääntöjen soveltamisalalla, jolla vastuu unionin politiikan täytäntöönpanosta myös on jaettu kansallisen tason ja unionin tason välillä, unionin tuomioistuimen oikeuskäytännössä on vahvistettu tiettyjä periaatteita kansallisten tuomioistuinten ja kyseisen politiikan soveltamisen johdonmukaisuuden varmistamisesta vastaavan unionin yksikön eli komission toiminnan yhteensovittamiseksi (tuomio 28.2.1991, Delimitis, C‑234/89, EU:C:1991:91 ja tuomio 14.12.2000, Masterfoods ja HB, C‑344/98, EU:C:2000:689). Vaikka ei voida sulkea pois sitä, että näitä periaatteita soveltaessaan kansallinen tuomioistuin voi katsoa parhaaksi lykätä asian käsittelyä siihen saakka, kunnes unionin toimivaltainen yksikkö on antanut ratkaisunsa, tai että kyseisen ratkaisun antamisen jälkeen ratkaisu voi sitoa sitä paitsi jos sillä on epäilyjä sen pätevyydestä ja se pyytää ennakkoratkaisumenettelyssä unionin tuomioistuimelta arviointia tältä osin, kyseessä olevat tilanteet liittyvät erottamattomasti tällaiseen vastuunjakoon ja tarpeeseen varmistaa kyseessä olevan politiikan johdonmukainen soveltaminen koko unionissa.

79

Toisin kuin kantaja kolmanneksi väittää, on lisättävä, että tietosuojaneuvoston sitovalla päätöksellä, joka on annettu asetuksen 2016/679 65 artiklan 1 kohdan a alakohdan nojalla ja jossa kantaja velvoitetaan laajentamaan analyysiään ja tutkimustaan, ei aseteta kyseenalaiseksi kantajan kykyä asettaa sille riippumattomana viranomaisena kuuluvien eri tehtävien suorittamista oikeaan tärkeysjärjestykseen, ja tähän tehtävään kohdistuva valvonta kuuluu yksinomaan kansalliselle tuomioistuimelle. Sillä ei kyseenalaisteta myöskään yleisemmin kantajan riippumattomuutta, joka on vahvistettu SEU 39 artiklassa, SEUT 16 artiklan 2 kohdassa ja perusoikeuskirjan 8 artiklan 3 kohdassa.

80

Yhtäältä on näet niin, että jos johtavan valvontaviranomaisen joko omasta aloitteestaan, vastaavien valvontaviranomaisten osallistuvien viranomaisten välisen yhteistyön vaiheessa esittämien tällaisia toimia koskevien pyyntöjen vuoksi tai tällaisen sitovan päätöksen johdosta on täydennettävä jotakin tapausta koskevaa analyysiään ja tutkimustaan, se ei ole velvollinen tekemään sitä välittömästi asettamalla se etusijalle muihin tehtäviinsä nähden. Se voi esimerkiksi ilmoittaa, että ensimmäisessä päätösehdotuksessa tai ensimmäisessä päätöksessä, jonka se antaa, käsitellään vain osaa kyseisessä tapauksessa esiin nousseista kysymyksistä ja että se jatkaa analyysejään ja tutkimuksiaan myöhemmin.

81

Ainoastaan asetuksen 2016/679 66 artiklassa säädetyssä tilanteessa, joissa muu osallistuva valvontaviranomainen katsoo, että on tarpeen toteuttaa kiireellisiä toimenpiteitä rekisteröityjen oikeuksien ja vapauksien suojamiseksi, johtava valvontaviranomainen voidaan tietosuojaneuvoston kiireellisellä sitovalla päätöksellä velvoittaa tarkistamaan viipymättä prioriteettijärjestystään, jotta se voi käsitellä tapauksen. Lainsäätäjä on siten säätänyt tästä mahdollisuudesta vain poikkeustapausten varalta. Sitovia päätöksiä 3/2022, 4/2022 ja 5/2022 ei ole annettu kyseisen 66 artiklan perusteella, eikä niissä siten velvoiteta kantajaa suorittamaan eri tehtäviään tietyssä prioriteettijärjestyksessä.

82

Toisaalta primaarioikeuden määräykset, joihin kantaja vetoaa, eivät merkitse sitä, että jäsenvaltioiden viranomaiset, joiden ensisijaisena tehtävänä on valvoa henkilötietojen suojaa koskevien sääntöjen soveltamista, olisivat täysin riippumattomia siten, ettei niitä valvota lainkaan. Näissä määräyksissä todetaan ainoastaan, että kyseisten sääntöjen noudattamisen valvonta on uskottu riippumattomille viranomaisille, mikä ei siis millään tavoin ole esteenä asetuksessa 2016/679 säädettyjen yhteistyö- ja yhdenmukaisuusmekanismien kaltaiselle riippumattomien viranomaisten keskinäiselle valvontajärjestelmälle eikä tietenkään eri asianomaisten viranomaisten antamien päätösten tuomioistuinvalvonnalle. Tärkeää on, että valvojien valvojat itse ovat riippumattomia. Tietosuojaneuvoston osalta asia on näin, sillä se koostuu jäsenvaltioiden valvontaviranomaisista ja Euroopan tietosuojavaltuutetusta, joka itse on riippumaton viranomainen suhteessa valvomiinsa unionin toimielimiin ja muihin yksikköihin.

Oikeudenkäyntikulut

84

Työjärjestyksen 134 artiklan 1 kohdan mukaan asianosainen, joka häviää asian, velvoitetaan korvaamaan oikeudenkäyntikulut, jos vastapuoli on sitä vaatinut. Koska kantaja on hävinnyt asian, se on velvoitettava korvaamaan oikeudenkäyntikulut tietosuojaneuvoston vaatimusten mukaisesti.

1)

Kanteet yhdistetyissä asioissa T‑70/23, T‑84/23 ja T‑111/23 hylätään.

2)

Data Protection Commission velvoitetaan korvaamaan oikeudenkäyntikulut.