1

Hageja, Iiri isikuandmete kaitse järelevalveasutus Data Protection Commission, palub ELTL artikli 263 alusel esitatud hagides osaliselt tühistada Euroopa Andmekaitsenõukogu (edaspidi „EAKN“) 5. detsembri 2022. aasta siduvad otsused 3/2022, 4/2022 ja 5/2022, mis käsitlevad asjaomaste järelevalveasutuste vahelisi vaidlusi, mis tulenevad hageja otsuste eelnõudest, mis puudutavad vastavalt suhtlusvõrke Facebook ja Instagram ning sõnumirakendust WhatsApp, selles osas, milles nende siduvate otsustega kohustatakse hagejat läbi viima uut uurimist andmete töötlemise kohta seoses nendes rakenduste kasutamisega ning koostama selle põhjal täiendavaid otsuste eelnõusid.

Asjaolud ja menetlus

6

Teiste asjaomaste järelevalveasutustega teabevahetuse tulemusel tõdes hageja, et tema otsuste eelnõude kohta esitatud vastuväidete suhtes ei saavutatud konsensust, ning ta pöördus EAKNi poole määrusega 2016/679 kehtestatud järjepidevuse mehhanismi kaudu vastavalt määruse artikli 60 lõikele 4.

7

Pärast kolme toimiku läbivaatamist võttis EAKN 5. detsembril 2022 määruse 2016/679 artikli 65 lõike 1 punkti a alusel vastu siduvad otsused 3/2022, 4/2022 ja 5/2022. Neis kolmes siduvas otsuses leidis EAKN kõigepealt, et enamik vastuväiteid hageja otsuste eelnõude kohta olid asjakohased ja põhjendatud määruse 2016/679 artikli 4 punkti 24 tähenduses ning et ta saab võtta seisukoha nendes vastuväidetes tõstatatud küsimustes. Seoses sellega nõustus EAKN sisuliselt mitme vastuväitega, mida ta pidas asjakohaseks ja põhjendatuks.

Poolte nõuded

15

Hageja palub Üldkohtul:

–

kohtuasjas T‑70/23 tühistada EAKNi siduva otsuse 3/2022 punktide 198 ja 487 teine lause;

–

kohtuasjas T‑84/23 tühistada EAKNi siduva otsuse 4/2022 punktide 203 ja 454 teine lause;

–

kohtuasjas T‑111/23 tühistada EAKNi siduva otsuse 5/2022 punktid 222 ja 326.8;

–

kõigis kolmes kohtuasjas mõista kohtukulud välja EAKNilt.

16

EAKN palub kõigis kolmes kohtuasjas Üldkohtul:

–

jätta hagid rahuldamata;

–

teise võimalusena piirduda vaidlustatud otsuste asjakohaste osade tühistamisega;

–

mõista kohtukulud välja hagejalt.

Õiguslik käsitlus

17

Hageja esitab kõigis kolmes kohtuasjas üheainsa väite, mille kohaselt ületas EAKN talle määruse 2016/679 artikli 65 lõike 1 punktiga a antud pädevust, kui ta kohustas hagejat kõigis kõnealustes siduvates otsustes esiteks viima läbi uue uurimise aspektide suhtes, mida ei olnud veel analüüsitud, ja teiseks esitama täiendava otsuse eelnõu vastavalt sama määruse artikli 60 lõikele 3 selle uue uurimise tulemuste põhjal.

Ainus väide, et EAKN ei olnud pädev vaidlustatud sätteid vastu võtma

29

Pärast seda täpsustust tuleb meenutada, et väljakujunenud kohtupraktikast tuleneb, et liidu õiguse sätte tõlgendamisel ei tule üldjuhul arvesse võtta mitte ainult selle sõnastust, vaid ka konteksti ja selle õigusaktiga taotletavaid eesmärke, mille osa säte on (vt selle kohta 29. novembri 2018. aasta kohtuotsus Mensing, C‑264/17, EU:C:2018:968, punkt 24 ja seal viidatud kohtupraktika). Käesoleval juhul põhineb mõni hageja argument ka kaalutlustel või põhimõtetel, mis lähevad kaugemale nendest, mis tulenevad määrusest 2016/679 endast. Üldkohus teeb seega otsuse määruse 2016/679 artikli 65 lõike 1 punktist a tuleneva EAKNi pädevuse ulatuse kohta, analüüsides vastavalt vajadusele kõigepealt argumente, mille hageja esitas määruse grammatilise, kontekstipõhise, teleoloogilise ja ajaloolise analüüsi käigus, ning seejärel argumente, mis käsitlevad liidu organile pädevuse andmise tingimusi, riigisisesel tasandil tehtava kohtuliku kontrolli tunnuseid ja isikuandmete kaitse järelevalveasutuste sõltumatust.

Argumendid, mis puudutavad EAKNi pädevuse ulatust määruse 2016/679 artikli 65 lõike 1 punkti a alusel ning mis on esitatud määruse grammatilise, kontekstipõhise, teleoloogilise ja ajaloolise analüüsi käigus

30

Hageja tugineb määruse 2016/679 artikli 65 lõike 1 punkti a, artikli 65 lõike 6 ja artikli 4 punkti 24 sõnastusele, et väita, et EAKN ei olnud pädev selleks, et kohustada juhtivat järelevalveasutust neist sätetest esimese alusel vastu võetud siduvas otsuses laiendama oma uurimist ja esitama uue otsuse eelnõu sellest täiendavast uurimisest tehtud järelduste põhjal. Selleks viitab ta ka määruse põhjendustele 126 ja 136.

31

Määruse 2016/679 artikli 65 lõike 1 punktis a on sätestatud:

32

Määruse 2016/679 artikli 4 punktis 24 on „asjakohane ja põhjendatud vastuväide“ määratletud järgmiselt:

33

Määruse 2016/679 artikli 65 lõikes 6 on ette nähtud:

34

Hageja sõnul piiravad eespool punktides 31–33 viidatud kolm sätet määruse 2016/679 artikli 65 lõike 1 punkti a alusel vastu võetud EAKNi siduva otsuse ulatust nende analüüside ulatusega, mis on tehtud juhtiva järelevalveasutuse otsuse eelnõus, mis edastati teistele toimikuga seotud järelevalveasutustele. Nimelt saab selline siduv otsus üksnes järgida asjakohast ja põhjendatud vastuväidet, mis peaks puudutama otsuse eelnõu sisu, mitte seda, mida see eelnõu ei sisalda. Siduva otsuse õiguslik toime piirdub muudatustega, mille pädev järelevalveasutus peab sama määruse artikli 65 lõike 6 kohaselt ühe kuu jooksul alates otsuse teatavaks tegemisest tegema lõplikus otsuses võrreldes otsuse eelnõuga. Seega saab siduv otsus puudutada üksnes määruse 2016/679 õiget tõlgendamist võrreldes sellega, mis sisaldub juhtiva järelevalveasutuse otsuse eelnõus, ning kõnealused sätted ei anna EAKNile mingit volitust anda sellele asutusele juhiseid teises küsimuses, näiteks kohustada teda läbi viima uurimist või esitama uut otsuse eelnõu.

35

Kui arvestada eespool punktides 31–33 viidatud sätete sõnastust, on see tõlgendus siiski kitsendav. Nimelt tuleb meenutada, et mõistega „asjakohane ja põhjendatud vastuväide“ on määruse 2016/679 artikli 4 punktis 24 hõlmatud „vastuväide kavandatavale otsusele seoses sellega, kas käesolevat määrust on rikutud […], mis näitab selgelt, kui suurt ohtu kujutab endast kavandatav otsus seoses andmesubjektide põhiõiguste ja -vabadustega“. Kuigi määruse 2016/679 artikli 65 lõike 1 punktis a on ette nähtud, et sel alusel vastu võetud siduv otsus „puudutab kõiki asjakohases ja põhjendatud vastuväites käsitletud küsimusi“, ei välista miski, et taoline vastuväide puudutab seda, et juhtiva järelevalveasutuse otsuse eelnõus puudub analüüs või see on ebapiisav toimiku sellise aspekti kohta, mis ei võimalda välja selgitada, kas seda määrust on selles aspektis rikutud või mitte. Vastupidi sellele, mida väidab hageja, ei ole mõiste „vastuväide otsuse eelnõu kohta“ piiratud vastuväidetega otsuse eelnõus sisalduvate kaalutluste kohta. Järelikult, kuna EAKNi siduv otsus peab käsitlema kõiki küsimusi, mille kohta on esitatud asjakohased ja põhjendatud vastuväited, ei välista miski seda, et kui EAKN nõustub asjakohase ja põhjendatud vastuväitega sellise analüüsi puudumise või ebapiisavuse kohta, sisaldab nimetatud otsus juhtivale järelevalveasutusele korraldust analüüsi puudumine kõrvaldada ja juhul, kui see on EAKNi käsutuses oleva toimiku põhjal vajalik, selle jaoks täiendada või laiendada seni läbi viidud uurimist. Kui nimelt selgub, et toimik ei ole nõutava analüüsi täielikuks tegemiseks piisav, peab see viima selleni, et EAKNil on võimalik juhtivalt järelevalveasutuselt nõuda täiendavat uurimist.

36

Samuti tuleb tõdeda, et eespool punktides 31–33 viidatud kolme sätte sõnastus koosvõetuna ei piira siduva otsuse ulatust üksnes koheste muudatustega, mis tuleb teha juhtiva järelevalveasutuse esitatud otsuse eelnõusse selleks, et võtta vastu lõplik otsus määruse 2016/679 artikli 65 lõikes 6 täpsustatud tingimustel, st ei piira otsuse ulatust üksnes nende muudatustega, mis puudutavad selle otsuse eelnõu sisu, mitte seda, mida see eelnõu ei sisalda. Vastupidi sellele, mida väidab hageja, on viimati nimetatud sätte eesmärk üksnes täpsustada lõpliku otsuse vastuvõtmise korda, kui see otsus võib vahetult järgneda EAKNi siduvale otsusele, eelkõige juhul, kui puudub vajadus jätkata uurimist või analüüsida toimiku teatavaid aspekte laiemalt või põhjalikumalt. See ei ole säte, mis käsitleb siduva otsuse võimalikku sisu, mis määratakse kindlaks selle otsuse vastuvõtmise õigusliku alusega, milleks käesoleval juhul on määruse 2016/679 artikli 65 lõike 1 punkt a, mida tuleb mõiste „asjakohane ja põhjendatud vastuväide“ määratlemisel tõlgendada koostoimes määruse artikli 4 punktiga 24. Sellega seoses olgu rõhutatud, et määruse 2016/679 artikli 65 lõikes 1 on ette nähtud EAKNi siduva otsuse mitu liiki, mis ei eelda tingimata seda, et järelevalveasutus võtab kohe seejärel ja viivitamatult vastu lõpliku otsuse.

38

Eespool punktides 31–33 viidatud kolme sätte grammatilist analüüsi eespool punktides 35 ja 36 ei saa vastupidi hageja väidetele ümber lükata määruse 2016/679 põhjenduste 126 ja 136 sõnastusega. Nimelt, märkides nendest põhjendustest esimeses, et „[o]tsuses peaksid ühiselt kokku leppima juhtiv järelevalveasutus ja asjaomased järelevalveasutused“, ei jäta seadusandja teiste asjaomaste järelevalveasutuste peale juhtiva järelevalveasutuse hinnangu alt kuidagi välja küsimust, milline on analüüsi ulatus, mida selline otsus peab konkreetsel juhul hõlmama, vaid see on just vastupidi, sest „otsus“ ei väljendu mitte ainult selles sisalduvates hinnangutes, vaid ka nende aspektide ulatuses, mida otsus käsitleb. Järelikult, kui asjaomased järelevalveasutused ei ole selles küsimuses konsensust saavutanud ja kui sellel teemal on pöördutud EAKNi poole, ei välista nimetatud põhjenduse sõnastus seda, et EAKN võib nõuda analüüsi ja vajaduse korral uurimise laiendamist. Samamoodi on määruse 2016/679 põhjenduses 136 märgitud, et EAKN „peaks […] välja andma õiguslikult siduvaid otsuseid […] selgelt kindlaks määratud juhtudel, kui järelevalveasutustel esineb lahkarvamusi, eelkõige juhtiva järelevalveasutuse ja asjaomaste järelevalveasutuste vahelise koostöökorra raames seoses juhtumi sisuga, nimelt küsimuses, kas käesolevat määrust on rikutud“. Vastupidi sellele, mida väidab hageja, ei ole uurimise ulatuse puhul tegemist mitte menetlusliku aspekti, vaid toimiku sisu puudutava aspektiga, kuna ulatus määrab kindlaks selle, mida tuleb analüüsida, et hinnata, kas nimetatud andmete üks või mitu töötlemist on määrusega 2016/679 kooskõlas.

39

Sellega seoses võib siinkohal tagasi lükata hageja teise argumendi, mille kohaselt eespool punktis 35 esitatud mõiste „asjakohane ja põhjendatud vastuväide“ tõlgendus annaks EAKNile võimaluse anda juhtivale järelevalveasutusele korraldusi, mis puudutavad kõiki selle asutuse volitusi, üksnes tingimusel, et asjaomase järelevalveasutuse tõstatatud küsimuse puhul on tegemist asjakohase ja põhjendatud vastuväitega selliselt mõistetud tähenduses. Nagu on märgitud määruse 2016/679 artikli 4 punktis 24, võib asjakohane ja põhjendatud vastuväide juhtiva järelevalveasutuse otsuse eelnõu kohta puudutada üksnes küsimust, kas seda määrust on järgitud või kas vastutava töötleja või volitatud töötleja suhtes kavandatud parandusmeetmed ise on selle määrusega kooskõlas. Taoline vastuväide võib seega olla seotud üksnes asja sisuliste küsimuste ja juhtiva järelevalveasutuse lõplike otsustusvolitustega, mis on eelkõige ette nähtud sama määruse artikli 58 lõikes 2 ja mis puudutavad samuti sisu. Järelikult ei saa selline vastuväide käsitleda uurimise läbiviimist sõna otseses tähenduses (erinevalt uurimise ulatusest), mis põhineb määruse 2016/679 artikli 58 lõikes 1 nimetatud järelevalveasutuste uurimisvolitustel.

40

Määruse 2016/679 artikli 65 lõike 1 punkti a grammatiline analüüs, mis on tehtud sama määruse artikli 4 punkti 24, artikli 65 lõike 6 ning põhjenduste 126 ja 136 sõnastust arvesse võttes, toetab seega EAKNi pädevust võtta vastu selliseid sätteid nagu vaidlustatud sätted, mis annavad hagejale juhise viia läbi uus uurimine kõnealuste toimikute teatavate aspektide kohta ja võtta seejärel vastu uued otsuste eelnõud. Tuleb analüüsida, kas hageja argumendid, mille ta esitas määruse 2016/679 kontekstipõhise ja teleoloogilise tõlgendamise käigus, on selle esimese analüüsi tulemustega vastuolus.

43

Sellega seoses tuleb märkida, et vastupidi sellele, mida väidab hageja, ei ole juhtumiga seotud järelevalveasutuste koostöömenetlus, mida on kirjeldatud määruse 2016/679 artiklis 60 ning mis võib hõlmata lõikes 4 ette nähtud ja EAKNi tagatud järjepidevuse kontrolli mehhanismi käivitamist, „ühesuunaline“ menetlus, mille puhul etapid järgnevad alati üksteisele neid etappe ette nägevate sätete järjekorras, ilma et oleks võimalik pöörduda tagasi varasemasse etappi või jääda ajutiselt samasse etappi. Nii näiteks lõikes 5 ette nähtud ja hageja kirjeldatud olukorrast lähtudes, kus juhtiv järelevalveasutus kavatses arvesse võtta teiste asjaomaste järelevalveasutuste vastuväiteid oma lõike 3 alusel esitatud otsuse eelnõu kohta ning kus ta oli asjaomastele järelevalveasutustele esitanud muudetud otsuse eelnõu, võib menetlus kulgeda mitmel viisil. Kui need asutused ei esita muudetud eelnõule vastuväiteid, võetakse lõplik(ud) otsus(ed) seejärel vastu otse vastavalt lõigetele 6–9. Vastasel korral, see tähendab siis, kui muudetud eelnõu kohta on esitatud vastuväiteid, siis juhul, kui juhtiv järelevalveasutus nõustub nendega täielikult või osaliselt, kordub lõikes 5 sätestatud etapp ning juhtiv järelevalveasutus peab esitama uue muudetud eelnõu, võttes arvesse vastuväiteid, millega ta nõustus. Kui juhtiv järelevalveasutus ei nõustu täielikult või osaliselt vastuväidetega muudetud eelnõu kohta, peab ta kooskõlas lõikega 4 käivitama järjepidevuse mehhanismi, pöördudes EAKNi poole kõige enam lõpuleviidud muudetud otsuse eelnõu alusel.

44

EAKN toob kostja vastuses veel ühe näite selle kohta, et määruse 2016/679 artiklis 60 ette nähtud koostöömenetlus juhtumiga seotud järelevalveasutuste vahel ei ole tingimata „ühesuunaline“. Pärast seda, kui teised asjaomased järelevalveasutused on esitanud vastuväiteid selle artikli lõike 3 alusel esitatud otsuse eelnõu kohta, võib juhtiv järelevalveasutus ise asuda seisukohale, et selle asemel, et kohe esitada muudetud otsuse eelnõu või käivitada järjepidevuse mehhanism, tuleb enne sama lõike 3 kohase otsuse eelnõu uuesti esitamist pöörduda tagasi ja teha põhjalikum analüüs. EAKN märgib, et Prantsuse järelevalveasutus toimis nii ühes asjas.

45

Samamoodi on juhul, kui EAKN sekkub sama artikli lõike 4 alusel ja võtab vastu siduva otsuse, võimalikud mitu stsenaariumi. Kui juhtiva järelevalveasutuse otsuse eelnõus on juhtumi kõiki asjakohaseid aspekte piisavalt käsitletud, võib juhtiv järelevalveasutus või asjakohasel juhul järelevalveasutus, kellele kaebus esitati, võtta sama artikli lõigete 6–9 kohaselt vastu lõpliku(d) otsuse(d) juhtumi lõpetamise kohta, arvestades eelkõige EAKNi siduva otsusega. Kui aga EAKNi siduvas otsuses leitakse sellekohaste vastuväidete põhjal, et juhtiva järelevalveasutuse otsuse eelnõus ei käsitleta või ei käsitleta piisavalt juhtumi kõiki asjakohaseid aspekte, ning kui seetõttu on vaja uurimine taasalustada, võib juhtiv järelevalveasutus või järelevalveasutus, kellele kaebus esitati, teha eespool nimetatud sätete kohaselt ühe või mitu lõplikku osaotsust, kuid juhtiv järelevalveasutus peab samal ajal oma analüüsi täiendama, olles vajaduse korral läbi viinud uue uurimise, et esitada teistele asjaomastele järelevalveasutustele kooskõlas sama artikli lõikega 3 täiendav otsuse eelnõu.

46

Hageja esitab kontekstipõhise tõlgendamise käigus teise argumendi, mille kohaselt määruse 2016/679 põhjendust 141 arvestades näitab sama määruse artikli 57 lõike 1 punkt f – milles on märgitud, et järelevalveasutus käsitleb kaebusi ja uurib asjakohasel määral selle sisu –, et liikmesriigi järelevalveasutuste pädevusse kuulub kaebuse tulemusel läbiviidava uurimise ulatuse hindamine ning selle suhtes kohaldatakse üksnes riigisisest kohtulikku kontrolli.

47

Määruse 2016/679 põhjenduses 141 on märgitud järgmist:

48

Määruse 2016/679 artikli 57 lõike 1 punkt f ja hageja esitatud kaalutlused ei vii siiski selleni, et küsimus uurimise ulatuse asjakohasusest ei kuulu asjaomaste järelevalveasutuste koostöö ja EAKNi poolse järjepidevuse mehhanismi alla.

49

Nimelt on määruse 2016/679 artikli 57, mis käsitleb kõiki järelevalveasutuste ülesandeid, lõike 1 punktis a esimese ülesandena ette nähtud ülesanne jälgida määruse kohaldamist ja tagada selle kohaldamine. Seega, vastupidi sellele, mida hageja kohtuistungil sisuliselt väitis, ei tohi isikuandmete töötlemise tingimuste analüüs ja selle analüüs, kas kohaldamine on määrusega kooskõlas, piirduda sellega, mida kaebaja kaebuses rõhutab.

50

Eelkõige tähendab määruse 2016/679 artikli 57 lõike 1 punktides a ja f ette nähtud ülesannete täielik täitmine, selle määruse kohaldamise tagamine ja kaebuste käsitlemine asjakohasel määral seda, et toimiku analüüsiks tuleb valida asjakohane ulatus, võttes arvesse selle aluseks olnud kaebust, kuid ka muid aspekte, mis võivad kaebust täiendada. Kuna kõnealune isikuandmete töötlemine on piiriülene, tuleb analüüsi tulemusel vastu võtta sellised otsused, mille suhtes kohaldatakse määruse artiklis 60 ette nähtud koostöömenetlust. Kriteerium, mis peab olema selle menetluse käigus täidetud, et EAKN saaks küsimuse kohta teha määruse artikli 65 lõike 1 punkti a alusel vastu võetud siduva otsuse, on see, et selle otsuse kohta on esitatud asjakohane ja põhjendatud vastuväide, nagu see on määratletud sama määruse artikli 4 punktis 24. Asjakohane ja põhjendatud vastuväide puudutab aga selle määratluse kohaselt aspekte, mille analüüsimine kuulub selgelt kahe eespool nimetatud ülesande hulka. Järelikult ei kahjusta neid ülesandeid asjaolu, et asjakohane ja põhjendatud vastuväide puudutab analüüsi ulatust ja vajaduse korral uurimise ulatust ning et EAKN järgib seda vastuväidet. Lisaks ei takista asjaolu, et kaebuse tulemusel tehtud järelevalveasutuste vaheotsuste peale saab esitada kaebuse liikmesriigi kohtutele, seda, et juhtiva järelevalveasutuse otsuse eelnõud saaks omakorda kontrollida EAKN määrusega 2016/679 kehtestatud järjepidevuse mehhanismile kehtestatud materiaalõiguslikes piirides.

51

Hageja argumendid kontekstipõhise tõlgendamise kohta ei võimalda seega põhjendada tema seisukohta EAKNi pädevuse puudumise kohta vaidlustatud sätete vastuvõtmiseks.

52

Vastupidi, juhtumiga seotud järelevalveasutuste koostöökohustuse – mis on tagatud määrusega 2016/679 – üldine kontekst kinnitab EAKNi pädevust selles küsimuses. Nimelt on määruse artikli 60 lõikes 1 muu hulgas sätestatud, et „[j]uhtiv järelevalveasutus teeb käesoleva artikli kohaselt koostööd teiste asjaomaste järelevalveasutustega, püüdes saavutada konsensust“. Sama määruse artikli 60 lõikes 3 on täpsustatud, et „[j]uhtiv järelevalveasutus edastab küsimusega seotud asjaomase teabe viivitamata teistele asjaomastele järelevalveasutustele“ ning et ta „esitab [neile] otsuse eelnõu viivitamata […] arvamuse saamiseks ja võtab asjakohaselt arvesse nende seisukohti“.

53

Sellest tuleneb, et asjaomaste järelevalveasutuste koostöö puudutab eelkõige juhtumi kui terviku analüüsi ja otsuse koostamist ning et juhtiv järelevalveasutus peab selles suhtes otsima teiste asjaomaste järelevalveasutustega kokkulepet. Miski eespool viidatud sätetes ei võimalda jätta sellest koostöökohustusest välja küsimust, mis puudutab läbiviidava analüüsi ulatust, ega vajaduse korral küsimust, missugune on läbiviidava eelneva uurimise ulatus. Euroopa Kohus meenutas 15. juuni 2021. aasta kohtuotsuses Facebook Ireland jt (C‑645/19, EU:C:2021:483, punktid 63 ja 64), et juhtumiga seotud järelevalveasutuste vahel on dialoog ning lojaalne ja tõhus koostöö vältimatu.

54

Eespool punktidest 41–53 tuleneb, et määruse 2016/679 sätetest tuleneva konteksti analüüs kinnitab eespool tehtud grammatilist analüüsi.

55

Teleoloogilise tõlgenduse puhul väidab hageja kõigepealt, et see, kui tunnistada, et EAKNil on volitus kohustada juhtivat järelevalveasutust koostama täiendavat otsuse eelnõud ja selleks eelnevalt laiendama oma uurimise ulatust, ei ole kooskõlas eesmärkidega, mis on „ühtse kontaktpunkti“ mehhanismil, mida seadusandja soovis määruse 2016/679 vastuvõtmisel saavutada. Huvitatud isikute jaoks ühtse järelevalveasutuse loomise eesmärk oli eelkõige vältida liigseid kulusid ja liigseid ebamugavusi, nagu on märgitud selle määruse põhjenduses 129. Uurimise taasalustamine erimeelsuse tõttu järelevalveasutuste vahel eiraks seda eesmärki, kohustades kaebuse esitajaid ja asjaomaseid ettevõtjaid tulema toime uurimise jätkamisega koos kulude ja ebamugavustega, kuigi see etapp pidi olema lõpule viidud.

56

Ilma et oleks vaja teha otsust seadusandja kavatsuste kohta, piisab siiski tõdemusest, et ühtne kontaktpunkt vastab menetluslikku laadi lihtsustamise eesmärgile, mis ei saa olla ülimuslik määruse 2016/679 peamise eesmärgi suhtes, milleks on tagada, et austataks füüsiliste isikute põhiõigust nende isikuandmete kaitsele. Määruse põhjenduses 1 on selle kohta meenutatud, et põhiõiguste harta artikli 8 lõikes 1 ja ELTL artikli 16 lõikes 1 on sätestatud, et igaühel on õigus oma isikuandmete kaitsele. Uurimise laiendamisel, mida peavad taotlema tingimata vähemalt pooled järelevalveasutused EAKNis, ei ole vastupidi hageja väidetele eesmärgiks muuta kaebuse esitanud isiku või kaebuses nimetatud vastutava töötleja ülesannet keerulisemaks, vaid see kujutab endast nende vastavate õiguste kaitsmise meedet. Lisaks võimaldavad juhtiva järelevalveasutuse uurimine ja analüüs, mis hõlmavad algusest peale kõiki aspekte, mis on vajalikud asjaomast juhtumit puudutava lõpliku otsuse koostamiseks, vältida hageja mainitud ebamugavusi.

57

Samuti tuleb tagasi lükata hageja argument, et uurimise taasalustamine lükkab edasi juba analüüsitud ja lahendatud aspektide lõplikku lahendamist.

58

Nagu hageja muide käesolevas asjas tegi, peab pädev asutus sellises olukorras vastupidi võtma vastu lõpliku otsuse analüüsitud ja lahendatud sisuliste aspektide kohta pärast EAKNi siduva otsuse tegemist määruse 2016/679 artikli 65 lõikes 6 ette nähtud tähtaja jooksul. See ei takista teda läbi viimast täiendavat uurimist ja analüüsimast juhtumi aspekte, mida ei ole veel uuritud.

59

Hageja väidab veel, et asjaolu, et EAKN ei sekku juhtumi analüüsi ulatuse kindlaksmääramisse, mis kujutab endast eelnevat või menetlusküsimust, ei takista koostöömehhanismi toimimist järelevalveasutuste vahel.

60

Koostöömehhanism on siiski piiratud, kui asjaomased järelevalveasutused ei saavuta konsensust. Just sellises olukorras, mis on sõnaselgelt ette nähtud määruse 2016/679 artikli 60 lõikes 4, peab juhtiv järelevalveasutus esitama küsimuse, milles ei ole konsensust, järjepidevuse mehhanismile, mille tulemusel teeb EAKN siduva otsuse, nagu on selles sättes märgitud.

61

Lõpuks väidab hageja, et konsensuse puudumine leiab lahenduse riigisisese kohtuliku kontrolliga. Ta tuletab meelde, et määruse 2016/679 artikli 58 lõikes 4 ja põhjenduses 141 on märgitud, et uurimise suhtes kohaldatakse tõhusat kohtulikku kontrolli.

62

On tõsi, et kui EAKN ei suuda lahendada juhtiva järelevalveasutuse läbiviidud analüüsi ulatusega seotud probleemi, võib liikmesriigi kohus sellesse sekkuda. Määruses 2016/679 on siiski ette nähtud, et probleemid, mis on esitatud asjaomase järelevalveasutuse asjakohases ja põhjendatud vastuväites määruse artikli 4 punkti 24 tähenduses, lahendatakse järelevalveasutuste vahel koostöömehhanismiga ja vajaduse korral järjepidevuse mehhanismiga. Nagu eespool on analüüsitud, võib analüüsi ja vajaduse korral juhtiva järelevalveasutuse läbiviidava uurimise ulatuse probleem anda alust asjakohaseks ja põhjendatud vastuväiteks eespool nimetatud tähenduses. Järelikult ei saa sedalaadi probleemi korral võimalik liikmesriigi kohtusse pöördumine – mis pealegi ei pruugi olla lihtne sellise kaebuse esitaja jaoks, kes elab muus riigis kui juhtiva järelevalveasutuse riik – tähendada seda, et asjaomaste järelevalveasutuste püsivaid erimeelsusi küsimustes, mille kohta on esitatud asjakohaseid ja põhjendatud vastuväiteid, ei saaks lahendada EAKNis.

63

Eespool punktidest 55–62 tuleneb, et määruse 2016/679 eesmärkide analüüs kinnitab samuti eespool esitatud grammatilist analüüsi.

Argumendid, mis käsitlevad liidu organile pädevuse andmise tingimusi, riigisisesel tasandil teostatava kohtuliku kontrolli tunnuseid ja isikuandmete kaitse eest vastutavate järelevalveasutuste sõltumatust

65

Esimesena leiab hageja sisuliselt, et põhimõtted, mis reguleerivad pädevuse andmist liidu organile, ei võimalda tõlgendada määrust 2016/679 eelmistes analüüsides esitatud tähenduses, see tähendab nii, et sellega antakse EAKNile vaidlustatud pädevus.

66

Hageja viitab ELL artiklile 5, et tuletada meelde, et liit võib tegutseda üksnes talle antud pädevuse piires. See põhimõte kehtib nii liidu institutsioonide kui ka organite, näiteks EAKNi suhtes. Nende suhtes kehtib ka „Meroni doktriin“, mis tuleneb 13. juuni 1958. aasta kohtuotsusest Meroni vs. Ülemamet (9/56, EU:C:1958:7), mis on kohaldatav liidu organitele, nagu Euroopa Kohus otsustas Euroopa Väärtpaberiturujärelevalve (ESMA) kohta 22. jaanuari 2014. aasta kohtuotsuses Ühendkuningriik vs. parlament ja nõukogu (C‑270/12, EU:C:2014:18, punktid 53 ja 54). Selle doktriiniga on nõutud, et liidu organite volitused on täpselt piiritletud ja nende suhtes saab lähtuvalt asjaomasele organile seatud eesmärkidest teostada kohtulikku kontrolli. Täpsemalt on teise eespool viidatud kohtuotsuse punktis 45 tõdetud, et selles kohtuasjas käsitletud ESMA volitusele, mida Euroopa Kohus lõpuks kinnitas, kehtivad mitmesugused kriteeriumid ja tingimused, mis piiritlevad selle asutuse tegutsemisruumi. Euroopa Kohus täpsustas 15. juuli 2021. aasta kohtuotsuses FBF (C‑911/19, EU:C:2021:599, punktid 67 ja 75) Euroopa Pangandusjärelevalve (EBA) kohta, et liidu organi pädevus peab olema seadusandja poolt sõnaselgelt ette nähtud ning et selle pädevuse kohtulik kontroll peab olema range.

67

Need kohtupraktikas kohaldatud põhimõtted puudutavad nimelt EAKNi, mis loodi liidu organina määruse 2016/679 artikliga 68.

68

Seega tuleb kõigepealt kontrollida, kas käesolevas kohtuotsuses eespool antud tõlgendus võimaldab asuda seisukohale, et EAKNi volituse teostamisele, kui see kohustab juhtivat järelevalveasutust oma analüüsi ja vajaduse korral uurimist laiendama, „kehtivad mitmesugused kriteeriumid ja tingimused, mis piiritlevad [tema] […] tegutsemisruumi“, nagu Euroopa Kohus tõdes seoses ESMA volitusega, millele vaieldi vastu kohtuasjas, milles tehti 22. jaanuari 2014. aasta kohtuotsus Ühendkuningriik vs. parlament ja nõukogu (C‑270/12, EU:C:2014:18).

69

Nagu nähtub määruse 2016/679 artikli 65 lõike 1 punktist a koostoimes selle määruse artikli 4 punktiga 24, saab seda volitust – mis seisneb juhtiva järelevalveasutuse kohustamises laiendama oma analüüsi ja vajaduse korral uurimist – teostada alles pärast seda, kui asjaomane järelevalveasutus on esitanud asjakohase ja põhjendatud vastuväite juhtiva järelevalveasutuse otsuse eelnõu kohta asjaomase juhtumi suhtes, mis puudutab analüüsi puudumist seoses küsimusega, „kas [määrust 2016/679] on rikutud või kas seoses vastutava töötleja või volitatud töötlejaga kavandatud meede on määrusega kooskõlas“ ning mis näitab „selgelt, kui suurt ohtu kujutab endast kavandatav otsus seoses andmesubjektide põhiõiguste ja -vabadustega ning, kui see on asjakohane, isikuandmete vaba liikumisega liidus“.

70

Lisaks eeldab määruse 2016/679 artikli 65 lõigete 2 ja 3 kohaselt eespool nimetatud volituse teostamine, et EAKN kahekolmandikulise häälteenamusega või teatud asjaoludel vähemalt pooled selle liikmetest, sealhulgas häälte võrdsuse korral eesistuja, on sisuliselt heaks kiitnud selle asjakohase ja põhjendatud vastuväite ning selle suhtes võetavad meetmed. Seega on vaja, et märkimisväärne hulk järelevalveasutusi kinnitaks asjaomase juhtumi olulise aspekti analüüsi puudumist või ebapiisavust ning et nad lepiksid kokku, milliseid meetmeid juhtiv järelevalveasutus selle parandamiseks võtab. Sellega seoses tuleb arvesse võtta, et EAKN ise koosneb suurest hulgast sellele valdkonnale spetsialiseerunud sõltumatutest asutustest, ja järelikult seda, et nende asutuste kokkulangev valitsev arvamus EAKNis annab tagatisi selle volituse teostamise kohta. Lisaks, kuigi eespool punktis 69 meenutatud mõiste „asjakohane ja põhjendatud vastuväide“ jätab küll kaalutlusruumi, eelkõige selle kindlaksmääramisel, kas asjaomane vastutav töötleja või volitatud töötleja on rikkunud määrust 2016/679 või kas seda aspekti tuleb selle teadasaamiseks analüüsida, osutavad kõik need küsimused siiski kõnealuses määruses sisalduvatele täpsetele õigusnormidele, mis ei võimalda „laia kaalutlusõiguse“ kasutamist.

71

Kokkuvõttes tuleb seega seoses EAKNi volituse piiritlemise küsimusega, millega hageja nõus ei ole, esiteks tõdeda, et seda volitust kasutatakse üksnes juhul, kui juhtiva järelevalveasutuse analüüsi puhul juhtumi käsitlemisel on kindlaks tehtud selge puudus ja sellel võivad olla olulised tagajärjed, nagu nähtub määruse 2016/679 artikli 4 punktis 24 esitatud asjakohase ja põhjendatud vastuväite määratlusest, ning teiseks, et see volitus tuleneb EAKNi koosseisu kuuluvate järelevalveasutuste ühisest hinnangust, mis antakse eespool punktis 70 rõhutatud tingimustel.

72

Mis puudutab küsimust, kas kõnealune volitus on seadusandja poolt „sõnaselgelt“ ette nähtud, siis tuleb rõhutada, et määrsõna „sõnaselgelt“ ning määrsõnad „selgesõnaliselt“ ja „selgelt“, mis on sünonüümid ja viitavad vastavalt omadussõnadele „sõnaselge“, „selgesõnaline“ ja „selge“, tähendavad, et väljendatu ulatuse suhtes ei ole kahtlust. Eespool esitatud grammatilisest, kontekstipõhisest ja teleoloogilisest tõlgendusest tuleneb aga, et ei ole kahtlust selles, et EAKNil on vaidlustatud pädevus, ja seega selles, et seadusandja on selle pädevuse sõnaselgelt ette näinud. Võib märkida, et EBAt puudutavas 15. juuli 2021. aasta kohtuotsuses FBF (C‑911/19, EU:C:2021:599) käsitlesid selle asutuse suunised – mille puhul oli vaidluse all, kas nimetatud asutus on pädev neid vastu võtma – „jaepangandustoodete järelevalve- ja juhtimiskorda“. Üheski selle asutuse suhtes kohaldatavas õigusaktis ei olnud selgelt märgitud, et ta võib sellel teemal suunised vastu võtta. Analüüsides kõiki neid õigusakte, milleks on EBA asutamise määrus, milles oli üldiselt ette nähtud tema pädevus võtta teatud eesmärkidel vastu suuniseid, ning eri direktiivid, mis käsitlevad finantseerimisasutusi ja finantstooteid, leidis Euroopa Kohus, et vaidlusalused suunised kuuluvad selle pädevuse alla.

73

Lisaks tuleb märkida, et EAKNi volituse teostamine, kohustades juhtivat järelevalveasutust oma analüüsi ja vajaduse korral uurimist laiendama, allub kohtulikule kontrollile. On tõsi, et käesolevas asjas otsustas hageja vaidlustada vaidlustatud sätted üksnes seetõttu, et EAKNil puudus pädevus, seadmata kahtluse alla konkreetset hinnangut, mille EAKN andis vastuväidetele, mille mõni järelevalveasutus oli esitanud tema otsuste eelnõude kohta, ning mille põhjal võeti need sätted vastu. Siiski oleks liidu kohtul talle esitatud väidete piires võimalik kontrollida selliste sätete sisulist õiguspärasust, arvestades juhtumi asjaolusid. Eelkõige võib ta kõigepealt kontrollida, kas EAKN järgis seda laadi sätete vastuvõtmisega järelevalveasutuse asjakohast ja põhjendatud vastuväidet määruse 2016/679 artikli 4 punkti 24 tähenduses. Seejärel võib ta kontrollida, kas nende sätete sisu, millega on antud järelevalveasutustele juhiseid, on ise õiguspärane.

74

Sellist liiki kohtulik kontroll on „range“ 15. juuli 2021. aasta kohtuotsuses FBF (C‑911/19, EU:C:2021:599, punkt 67) mõeldud tähenduses. Õiguspärasuse üle otsustavat kohut seovad üldiselt nii tema enda ülesanded kui ka menetlusnormid ning tema kontroll on tingimata range, kui ta täidab nende normide raames täielikult oma ülesannet. Sisulistes küsimustes teostab õiguspärasuse üle otsustav kohus – vastavalt kaalutlusõigusele, mis kas vaidlustatud akti vastuvõtjal on või mitte – tavapärast kontrolli (üldjuhul õiguslike aspektide, faktiliste asjaolude tuvastamise ja kaalutlusõiguseta pädevuse juhtumite üle) või piiratud kontrolli (üldjuhul keeruliste tehniliste aspektide üle või juhul, kui asutusel on kaalutlusõigus, mille puhul kohus heidab ette ainult ilmseid kaalutlusvigu) (vt selle kohta analoogia alusel seoses liikmesriigi kohtu kontrolliga riigisiseste asutuste otsuste üle isikuandmete kaitse valdkonnas 7. detsembri 2023. aasta kohtuotsus SCHUFA Holding (täitmata jäänud võlakohustusest vabastamine), C‑26/22 ja C‑64/22, EU:C:2023:958, punktid 68 ja 69).

75

Eespool punktidest 67–74 tuleneb, et liidu organile pädevuse andmise tingimustega ei ole vastuolus analüüs, mis on tehtud eespool käesolevas kohtuotsuses.

76

Teisena esitab hageja põhjused selle tõendamiseks, et uurimisega seotud vaidluste lahendamiseks on liikmesriigi kohtud „sobiv koht“, see tähendab, et neil on selleks parimad võimalused.

77

Siiski, nagu on märgitud eespool punktis 62, on liidu seadusandja otsustanud, et asjaomaste järelevalveasutuste vahelised püsivad erimeelsused, mis puudutavad juhtumi analüüsi ulatust ja vajaduse korral selle suhtes läbiviidava uurimise ulatust, lahendatakse EAKNis järjepidevuse mehhanismi raames. Hageja argumendid selle tõendamiseks, et uurimisega seotud vaidluste lahendamiseks on liikmesriigi kohtud „sobiv koht“, on järelikult edutud.

78

Tuleb lisada, et kuna nii liikmesriigi kohtul kui ka EAKNil võib olla vaja võtta seisukoht analüüsi ulatuse ja uurimise ulatuse kohta, siis ELTL artiklites 101 ja 102 sätestatud konkurentsieeskirjade kohaldamisalas, kus vastutus on samuti jagatud liikmesriigi ja liidu tasandi vahel liidu poliitika elluviimisel, on Euroopa Kohtu praktikas välja töötatud mitu põhimõtet, et koordineerida liikmesriikide kohtute ja sellise liidu üksuse – st komisjoni – tegevust, kelle ülesanne on tagada kooskõla kõnealuse poliitika kohaldamisel (28. veebruari 1991. aasta kohtuotsus Delimitis, C‑234/89, EU:C:1991:91, ja 14. detsembri 2000. aasta kohtuotsus Masterfoods ja HB, C‑344/98, EU:C:2000:689). Kuigi ei ole välistatud, et nende põhimõtete alusel peab liikmesriigi kohus eelistatavaks menetluse peatada, oodates liidu pädeva üksuse otsust, või et talle võib otsuse tegemise korral olla see siduv, välja arvatud juhul, kui ta kahtleb selle kehtivuses ja palub Euroopa Kohtult eelotsusemenetluses sellekohast hinnangut, on need olukorrad omased sellisele vastutuse jagamisele ja vajadusele tagada kogu liidus järjepidevus asjaomase poliitika kohaldamisel.

79

Samuti tuleb lisada, et vastupidi hageja poolt kolmandana esitatud väitele ei sea EAKNi siduv otsus, mis on vastu võetud määruse 2016/679 artikli 65 lõike 1 punkti a alusel ning mis kohustab hagejat laiendama oma analüüsi ja uurimist, kahtluse alla tema võimet seada oma täidetavad ülesanded sõltumatu asutusena tähtsuse järjekorda, ja selle kontrollimine kuulub üksnes liikmesriigi kohtu pädevusse. Samuti ei sea see üldisemalt kahtluse alla tema sõltumatust, mis on tagatud ELL artikliga 39, ELTL artikli 16 lõikega 2 ja põhiõiguste harta artikli 8 lõikega 3.

80

Esiteks, kui juhtiv järelevalveasutus peab täiendama juhtumi analüüsi ja uurimist – kas siis omal algatusel, asjaomaste järelevalveasutuste koostöö etapis pärast vastavate asutuste sekkumist või siis pärast sellist siduvat otsust –, ei ole ta kohustatud seda tegema kõiki muid asju kõrvale jättes, seades selle oma muudest ülesannetest ettepoole. Näiteks võib ta teatada, et esimene otsuse eelnõu või esimene otsus, mille ta on vastu võtnud, käsitleb ainult osa asjaomase juhtumi küsimustest ning et ta jätkab hiljem oma analüüsi ja uurimist.

81

Ainult määruse 2016/679 artiklis 66 ette nähtud asjaoludel, kui teine asjaomane järelevalveasutus leiab, et andmesubjektide õiguste ja vabaduste kaitsmiseks on vaja kiiresti tegutseda, võib EAKNi kiireloomuline siduv otsus kohustada juhtivat järelevalveasutust vaatama juhtumi käsitlemiseks viivitamata üle oma juhtumite tähtsuse järjekorda. Seadusandja on seega selle võimaluse ette näinud üksnes erandjuhtudel. Nimelt ei võetud siduvaid otsuseid 3/2022, 4/2022 ja 5/2022 vastu kõnealuse artikli 66 alusel ning järelikult ei kehtestanud need hagejale tema eri ülesannete tähtsuse järjekorda.

82

Teiseks ei eelda hageja viidatud esmase õiguse sätted, et liikmesriikide asutused, kelle põhiline ülesanne on tagada isikuandmete kaitset käsitlevate õigusnormide kohaldamine, oleksid absoluutselt sõltumatud kontrolli puudumise mõttes. Nendes sätetes on üksnes märgitud, et nende normide järgimise kontrollimine on usaldatud sõltumatutele asutustele, mis ei takista seega kuidagi sõltumatute asutuste vastastikuse kontrolli süsteemi, nagu on määruses 2016/679 ette nähtud koostöö- ja järjepidevuse mehhanism, ega loomulikult ka kohtulikku kontrolli asjasse puutuvate eri asutuste otsuste üle. Oluline on see, et need, kes kontrollivad kontrollijaid, oleks ise sõltumatud. See on nii EAKNi puhul, kuna ta koosneb liikmesriikide järelevalveasutustest ja Euroopa andmekaitseinspektorist, kes on ise liidu institutsioonidest ja muudest tema kontrollitavatest üksustest sõltumatu asutus.

Kohtukulud

84

Vastavalt kodukorra artikli 134 lõikele 1 on kohtuvaidluse kaotanud pool kohustatud hüvitama kohtukulud, kui vastaspool on seda nõudnud. Kuna hageja on kohtuvaidluse kaotanud, tuleb kohtukulud vastavalt EAKNi nõudele välja mõista hagejalt.

1.

Jätta hagid kohtuasjades T‑70/23, T‑84/23 ja T‑111/23 rahuldamata.

2.

Mõista kohtukulud välja Data Protection Commissionilt.