1

SESV 263 straipsniu grindžiamais ieškiniais ieškovė Data Protection Commission, Airijos asmens duomenų apsaugos priežiūros institucija, prašo iš dalies panaikinti 2022 m. gruodžio 5 d. Europos duomenų apsaugos valdybos (toliau – EDAV) privalomus sprendimus Nr. 3/2022, 4/2022 ir 5/2022 dėl susijusių priežiūros institucijų ginčų, kilusių dėl ieškovės sprendimų projektų, susijusių atitinkamai su socialiniu tinklu Facebook, socialiniu tinklu Instagram ir pranešimų siuntimo programėle WhatsApp, tiek, kiek tais privalomais sprendimais ji buvo įpareigota atlikti naujus tyrimus dėl duomenų, susijusių su šiomis programėlėmis, tvarkymo ir tuo remiantis parengti papildomus sprendimų projektus.

Faktinės aplinkybės ir procesas

6

Po susirašinėjimo su kitomis susijusiomis priežiūros institucijomis ieškovė konstatavo, kad nesusitarta dėl prieštaravimų, pareikštų dėl jos sprendimų projektų, ir remdamasi Reglamento 2016/679 60 straipsnio 4 dalimi perdavė klausimą EDAV pagal Reglamente 2016/679 nustatytą nuoseklumo užtikrinimo mechanizmą.

7

Išnagrinėjusi tris bylas, 2022 m. gruodžio 5 d. EDAV, remdamasi Reglamento 2016/679 65 straipsnio 1 dalies a punktu, priėmė privalomus sprendimus Nr. 3/2022, 4/2022 ir 5/2022. Šiuose trijuose privalomuose sprendimuose EDAV visų pirma laikėsi nuomonės, kad dauguma prieštaravimų, pateiktų dėl ieškovės sprendimų projektų, yra tinkami ir pagrįsti, kaip tai suprantama pagal Reglamento 2016/679 4 straipsnio 24 punktą, ir kad ji galėjo pareikšti poziciją dėl juose keliamų klausimų. Šiuo klausimu EDAV iš esmės patvirtino kai kuriuos iš šių prieštaravimų, pripažindama juos tinkamais ir pagrįstais.

Šalių reikalavimai

15

Ieškovė Bendrojo Teismo prašo:

–

byloje T‑70/23 panaikinti EDAV privalomo sprendimo Nr. 3/2022 198 ir 487 punktų antrus sakinius,

–

byloje T‑84/23 panaikinti EDAV privalomo sprendimo Nr. 4/2022 203 ir 454 punktų antrus sakinius,

–

byloje T‑111/23 panaikinti EDAV privalomo sprendimo Nr. 5/2022 222 ir 326.8 punktus,

–

visose trijose bylose priteisti iš EDAV ieškovės patirtas išlaidas.

16

EDAV trijose bylose Bendrojo Teismo prašo:

–

atmesti ieškinį,

–

nepatenkinus pirmojo reikalavimo, panaikinti tik atitinkamas ginčijamų sprendimų dalis,

–

priteisti iš ieškovės bylinėjimosi išlaidas.

Dėl teisės

17

Trijose bylose ieškovė nurodo vienintelį pagrindą, grindžiamą tuo, kad EDAV viršijo jai pagal Reglamento 2016/679 65 straipsnio 1 dalies a punktą suteiktus įgaliojimus, nes kiekviename iš nagrinėjamų privalomų sprendimų įpareigojo ieškovę, pirma, atlikti naują tyrimą dėl dar nenagrinėtų aspektų ir, antra, pagal to paties reglamento 60 straipsnio 3 dalį pateikti papildomo sprendimo projektą, remiantis naujo tyrimo rezultatais.

Dėl vienintelio pagrindo, grindžiamo EDAV kompetencijos priimti ginčijamas nuostatas nebuvimu

29

Atsižvelgiant į tai, reikia priminti, kad pagal suformuotą jurisprudenciją iš principo aiškinant Sąjungos teisės nuostatą reikia atsižvelgti ne tik į jos tekstą, bet ir į kontekstą ir teisės akto, kuriame ji įtvirtinta, tikslus (šiuo klausimu žr. 2018 m. lapkričio 29 d. Sprendimo Mensing, C‑264/17, EU:C:2018:968, 24 punktą ir jame nurodytą jurisprudenciją). Nagrinėjamu atveju tam tikri ieškovės argumentai taip pat kyla iš samprotavimų ar principų, kurie nepatenka net į patį Reglamentą 2016/679. Taigi Bendrasis Teismas priims sprendimą dėl EDAV kompetencijos pagal Reglamento 2016/679 65 straipsnio 1 dalies a punktą apimties ir prireikus pirmiausia nagrinės ieškovės argumentus, pateiktus atliekant pažodinę, kontekstinę, teleologinę ir istorinę šio reglamento analizę, o po to – argumentus, susijusius su kompetencijos suteikimo Sąjungos įstaigai sąlygomis, nacionaliniu lygmeniu vykdomos teisminės kontrolės ypatumais ir su už asmens duomenų apsaugą atsakingų priežiūros institucijų nepriklausomumu.

Dėl su EDAV kompetencijos pagal Reglamento 2016/679 65 straipsnio 1 dalies a punktą apimtimi susijusių argumentų, pateiktų atliekant pažodinę, kontekstinę, teleologinę ir istorinę šio reglamento analizę

30

Ieškovė remiasi Reglamento 2016/679 65 straipsnio 1 dalies a punkto, 65 straipsnio 6 dalies ir 4 straipsnio 24 punkto formuluotėmis, nurodydama, kad EDAV neturi kompetencijos pagal pirmąją iš šių nuostatų priimtame privalomame sprendime įpareigoti vadovaujančią priežiūros instituciją išplėsti tyrimą ir pateikti naują sprendimo projektą, kad būtų padarytos šio papildomo tyrimo išvados. Šiuo klausimu ji taip pat remiasi šio reglamento 126 ir 136 konstatuojamosiomis dalimis.

31

Reglamento 2016/679 65 straipsnio 1 dalies a punkte nustatyta:

32

Reglamento 2016/679 4 straipsnio 24 punkte tinkamas ir pagrįstas prieštaravimas apibrėžtas taip:

33

Reglamento 2016/679 65 straipsnio 6 dalyje, be kita ko, nurodyta:

34

Ieškovės teigimu, šio sprendimo 31–33 punktuose nurodytomis trimis nuostatomis EDAV privalomo sprendimo, priimto remiantis Reglamento 2016/679 65 straipsnio 1 dalies a punktu, apimtis apribojama analizėmis, atliktomis vadovaujančios priežiūros institucijos sprendimo projekte, pateiktame kitoms su byla susijusioms priežiūros institucijoms. Iš tiesų tokiu privalomu sprendimu galima tik atsižvelgti į tinkamą ir pagrįstą prieštaravimą, kuris turėtų būti susijęs su sprendimo projekto turiniu, o ne su tuo, kas jame nenurodyta. Privalomo sprendimo teisinė galia apsiriboja pakeitimais, kuriuos pagal to paties reglamento 65 straipsnio 6 dalį kompetentinga priežiūros institucija per vieną mėnesį nuo pranešimo apie jį turi padaryti galutiniame sprendime, atsižvelgdama į sprendimo projektą. Taigi privalomas sprendimas gali būti susijęs tik su teisingu Reglamento 2016/679 aiškinimu, palyginti su tuo, kas pateikta vadovaujančios priežiūros institucijos sprendimo projekte, o pagal nagrinėjamas nuostatas EDAV nesuteikiama jokių įgaliojimų duoti nurodymus minėtai institucijai kitu klausimu, pavyzdžiui, įpareigoti ją atlikti tyrimą ar pateikti naują sprendimo projektą.

35

Vis dėlto toks aiškinimas yra siauras, atsižvelgiant į šio sprendimo 31–33 punktuose nurodytų nuostatų tekstą. Iš tiesų reikia priminti, kad pagal Reglamento 2016/679 4 straipsnio 24 punktą sąvoka „tinkamas ir pagrįstas prieštaravimas“ apima „prieštaravimą sprendimo projektui dėl to, ar buvo padarytas šio reglamento pažeidimas <…>, kuris aiškiai parodo sprendimo projekto keliamų pavojų duomenų subjektų pagrindinėms teisėms ir laisvėms“. Nors Reglamento 2016/679 65 straipsnio 1 dalies a punkte numatyta, kad šiuo tikslu priimtas privalomas sprendimas „susijęs su visais klausimais, dėl kurių pateiktas tinkamas ir pagrįstas prieštaravimas“, niekas nedraudžia, kad toks prieštaravimas būtų susijęs su tuo, kad šiame vadovaujančios priežiūros institucijos sprendimo projekte neatliktas arba nepakankamai išnagrinėtas bylos aspektas, dėl kurio negalima nustatyti, ar buvo pažeistas minėtas reglamentas. Priešingai, nei teigia ieškovė, žodžių junginys „prieštaravimas sprendimo projektui“ neapsiriboja prieštaravimais dėl sprendimo projekte pateiktų argumentų. Taigi, kadangi privalomas EDAV sprendimas turi būti susijęs su visais klausimais, dėl kurių pareikšti tinkami ir pagrįsti prieštaravimai, niekas nedraudžia, kad tuo atveju, kai EDAV patvirtina tinkamą ir pagrįstą prieštaravimą, susijusį su tokio pobūdžio trūkumu ar nepakankamumu, šiame sprendime vadovaujančiai priežiūros institucijai būtų nustatytas įpareigojimas ištaisyti šį analizės trūkumą ir, jei tai atrodo būtina atsižvelgiant į EDAV turimą bylos medžiagą, šiuo tikslu pagilinti ar išplėsti iki tol atliktą tyrimą. Iš tiesų, jeigu paaiškėja, kad bylos medžiagos nepakanka, kad būtų galima atlikti visą reikiamą analizę, tai reiškia, kad EDAV gali įpareigoti vadovaujančią priežiūros instituciją atlikti papildomą tyrimą.

36

Taip pat reikia konstatuoti, kad pagal kartu nagrinėjamų visų trijų šio sprendimo 31–33 punktuose nurodytų nuostatų formuluotes privalomo sprendimo apimtis neapribojama tik tais neatidėliotinais sprendimo projekto pakeitimais, kuriuos turi padaryti vadovaujanti priežiūros institucija, siekdama priimti galutinį sprendimą Reglamento 2016/679 65 straipsnio 6 dalyje nurodytomis sąlygomis, t. y. tik tais pakeitimais, kurie susiję su sprendimo projekto turiniu, o ne su tuo, kas jame nenurodyta. Šiuo klausimu, priešingai nei teigia ieškovė, pastarąja nuostata siekiama tik patikslinti galutinio sprendimo priėmimo tvarką, kai šis sprendimas gali būti priimtas iš karto po privalomo EDAV sprendimo, visų pirma tais atvejais, kai nereikia atlikti pakartotinio tyrimo arba plačiau ar išsamiau išnagrinėti tam tikrų bylos aspektų. Tai nėra nuostata, susijusi su galimu privalomo sprendimo turiniu, kuris nustatomas pagal teisinį pagrindą, kuriuo remiantis tas sprendimas priimamas, šiuo atveju – Reglamento 2016/679 65 straipsnio 1 dalies a punktą, kuris pats savaime turi būti aiškinamas kartu su šio reglamento 4 straipsnio 24 dalimi, kiek tai susiję su sąvokos „tinkamas ir pagrįstas prieštaravimas“ apibrėžtimi. Šiuo požiūriu reikia pabrėžti, kad Reglamento 2016/679 65 straipsnio 1 dalyje numatyti įvairių rūšių privalomi EDAV sprendimai, jie nebūtinai reiškia, kad priežiūros institucija nuosekliai ir nedelsiant priima galutinį sprendimą.

38

Priešingai, nei teigia ieškovė, Reglamento 2016/679 126 ir 136 konstatuojamųjų dalių formuluotės negali paneigti trijų šio sprendimo 31–33 punktuose nurodytų nuostatų pažodinės analizės, pateiktos šio sprendimo 35 ir 36 punktuose. Iš tiesų 126 konstatuojamojoje dalyje nurodydamas, kad „dėl sprendimo turėtų kartu susitarti vadovaujanti priežiūros institucija ir susijusios priežiūros institucijos“, teisės aktų leidėjas jokiu būdu neeliminuoja klausimo dėl analizės, kuri konkrečiu atveju įtraukiama į tokį sprendimą, apimties iš kitų nei vadovaujanti priežiūros institucija susijusių priežiūros institucijų vertinimo; yra priešingai, nes tai, ar „sprendimas“ atsiras, priklauso ne tik nuo jame pateiktų vertinimų, bet ir nuo jame išdėstytų aspektų apimties. Taigi jei šiuo klausimu susijusios priežiūros institucijos nesusitaria ir dėl to jos kreipiasi į EDAV, pagal šios konstatuojamosios dalies formuluotę neatmetama galimybė, kad EDAV gali reikalauti išplėsti analizę ir prireikus tyrimą. Be to, Reglamento 2016/679 136 konstatuojamojoje dalyje nurodyta, kad EDAV „turėtų <…> priimti teisiškai privalomus sprendimus aiškiai apibrėžtais atvejais, kai priežiūros institucijų nuomonės dėl tam tikro atvejo esmės yra prieštaringos, visų pirma, kai taikomas vadovaujančios priežiūros institucijos ir susijusių priežiūros institucijų bendradarbiavimo mechanizmas, visų pirma sprendžiant klausimą, ar buvo pažeistas šis reglamentas“. Priešingai, nei teigia ieškovė, tyrimo apimtis yra ne procedūrinis, o bylos nagrinėjimo iš esmės klausimas, nes jis lemia tai, kas turi būti nagrinėjama siekiant įvertinti, ar nagrinėjamas duomenų tvarkymas atitinka Reglamentą 2016/679.

39

Šiuo klausimu jau dabar galima atmesti kitą ieškovės argumentą, kad pagal šio sprendimo 35 punkte pateiktą sąvokos „tinkamas ir pagrįstas prieštaravimas“ aiškinimą EDAV galėtų duoti vadovaujančiai priežiūros institucijai nurodymus, susijusius su visais tos institucijos įgaliojimais, tik su sąlyga, kad susijusios priežiūros institucijos iškeltas klausimas būtų laikomas tinkamu ir pagrįstu prieštaravimu, kaip tai suprantama pagal įtvirtintą sąvoką. Kaip nurodyta Reglamento 2016/679 4 straipsnio 24 punkte, tinkamas ir pagrįstas prieštaravimas dėl vadovaujančios priežiūros institucijos sprendimo projekto gali būti susijęs tik su klausimu, ar laikomasi šio reglamento, o gal patys numatomi taisomieji veiksmai duomenų valdytojo arba duomenų tvarkytojo atžvilgiu atitinka šį reglamentą. Taigi toks prieštaravimas gali būti susijęs tik su bylos esme ir vadovaujančios priežiūros institucijos galutinių sprendimų priėmimo įgaliojimais, kurie numatyti, be kita ko, to paties reglamento 58 straipsnio 2 dalyje ir yra taip pat susiję su bylos esme. Vadinasi, toks prieštaravimas negali būti susijęs su paties tyrimo atlikimu, grindžiamu Reglamento 2016/679 58 straipsnio 1 dalyje nurodytais priežiūros institucijų tyrimo įgaliojimais (priešingai nei, kiek tai susiję su tyrimo apimtimi).

40

Taigi pažodinė Reglamento 2016/679 65 straipsnio 1 dalies a punkto analizė, atlikta atsižvelgiant į to paties reglamento 4 straipsnio 24 punkto, 65 straipsnio 6 dalies ir 126 bei 136 konstatuojamųjų dalių formuluotes, atitinka EDAV kompetenciją priimti tokias nuostatas, kokios yra ginčijamos, kuriomis ieškovei nurodoma atlikti naują tyrimą dėl tam tikrų nagrinėjamų bylų aspektų ir vėliau šiuo klausimu priimti naujus sprendimų projektus. Reikia išnagrinėti, ar ieškovės argumentai, pateikti atsižvelgiant į jos atliktą kontekstinį ir teleologinį Reglamento 2016/679 aiškinimą, gali prieštarauti šios pirmosios analizės išvadoms.

43

Šiuo klausimu, priešingai, nei teigia ieškovė, su byla susijusių priežiūros institucijų bendradarbiavimo procedūra, aprašyta Reglamento 2016/679 60 straipsnyje, galinti apimti 4 dalyje numatyto EDAV užtikrinamo nuoseklumo užtikrinimo mechanizmo pradėjimą, nėra „vienpusė“ procedūra, pagal kurią etapai visada seka vienas po kito juos numatančių nuostatų tvarka, be galimybės grįžti į ankstesnį etapą ar laikinai likti tame pačiame etape. Taigi, pavyzdžiui, atsižvelgiant į ieškovės nurodytą situaciją, numatytą 5 dalyje, kai vadovaujanti priežiūros institucija ketino pati atsižvelgti į kitų susijusių priežiūros institucijų prieštaravimus dėl jos sprendimo projekto, pateikto pagal 3 punktą, ir pateikė šioms institucijoms peržiūrėtą sprendimo projektą, procedūra gali kisti įvairiais aspektais. Jei tos institucijos neprieštarauja peržiūrėtam projektui, galutinis sprendimas priimamas tiesiogiai pagal 6–9 dalis. Priešingu atveju, t. y. kai pareiškiama prieštaravimų dėl peržiūrėto projekto, jei vadovaujanti priežiūros institucija visiškai arba iš dalies sutinka su jais, 5 dalyje numatytas etapas atnaujinamas, o vadovaujanti priežiūros institucija turi pateikti naują peržiūrėtą projektą, atsižvelgdama į prieštaravimus, su kuriais ji sutiko. Jei vadovaujanti priežiūros institucija nesutinka su visais arba kai kuriais prieštaravimais dėl peržiūrėto projekto, ji pagal 4 dalį inicijuoja nuoseklumo užtikrinimo mechanizmą ir kreipiasi į EDAV, remdamasi išsamiausiai peržiūrėtu sprendimo projektu.

44

Savo atsiliepime į ieškinį EDAV pateikia kitą pavyzdį, iš kurio matyti, kad su byla susijusių priežiūros institucijų bendradarbiavimo procedūra, numatyta Reglamento 2016/679 60 straipsnyje, nebūtinai yra „vienpusė“. Po to, kai kitos susijusios priežiūros institucijos pareiškia prieštaravimus dėl vadovaujančios priežiūros institucijos sprendimo projekto, pateikto pagal šio straipsnio 3 dalį, vadovaujanti priežiūros institucija gali pati nuspręsti, kad, užuot iš pat pradžių pateikusi peržiūrėtą sprendimo projektą arba pradėjusi taikyti nuoseklumo patikrinimo mechanizmą, ji turėtų grįžti prie tyrimo nagrinėjimo ir jį išplėtoti prieš pateikdama naują sprendimo projektą pagal tą pačią 3 dalį. EDAV nurodo, kad Prancūzijos priežiūros institucija taip pasielgė vienoje byloje.

45

Be to, tuo atveju, kai EDAV imasi veiksmų pagal to paties straipsnio 4 dalį ir priima privalomą sprendimą, galimi keli scenarijai. Jei vadovaujančios priežiūros institucijos sprendimo projekte buvo pakankamai atsižvelgta į visus svarbius konkretaus atvejo aspektus, vadovaujanti priežiūros institucija arba tam tikrais atvejais priežiūros institucija, kuriai pateiktas skundas, gali pagal to paties straipsnio 6–9 dalis priimti galutinį sprendimą ar sprendimus, kuriais byla baigiama nagrinėti, atsižvelgdama visų pirma į privalomą EDAV sprendimą. Jeigu, priešingai, EDAV privalomame sprendime nustatyta, kad vadovaujančios priežiūros institucijos sprendimo projekte neišnagrinėti arba nepakankamai išnagrinėti visi svarbūs bylos aspektai ir, prireikus, dėl to būtina atnaujinti tyrimą, vadovaujanti priežiūros institucija arba priežiūros institucija, kuriai pateiktas skundas, gali priimti vieną ar daugiau dalinių galutinių sprendimų pagal pirmiau minėtas nuostatas, tačiau vadovaujanti priežiūros institucija, atlikusi, jei reikia, naują tyrimą, tuo pat metu turi užbaigti analizę, kad pagal to paties straipsnio 3 dalį galėtų pateikti papildomo sprendimo projektą kitoms susijusioms priežiūros institucijoms.

46

Ieškovė pateikia antrąjį argumentą, susijusį su kontekstiniu aiškinimu, pagal kurį iš Reglamento 2016/679 57 straipsnio 1 dalies f punkto (jame nurodyta, kad priežiūros institucija nagrinėja skundus ir jų dalyką tiek, kiek tai būtina), siejamo su jo 141 konstatuojamąja dalimi, matyti, kad tyrimo, kuris turi būti atliekamas gavus skundą, apimtis priklauso nuo nacionalinių priežiūros institucijų vertinimo, su sąlyga, kad taikoma tik nacionalinė teisminė kontrolė.

47

Reglamento 2016/679 141 konstatuojamojoje dalyje, be kita ko, nurodyta:

48

Vis dėlto dėl Reglamento 2016/679 57 straipsnio 1 dalies f punkto ir ieškovės pateiktų argumentų klausimas dėl tyrimo apimties tinkamumo neturi būti išbrauktas iš susijusių priežiūros institucijų bendradarbiavimo ir EDAV atliekamo nuoseklumo užtikrinimo mechanizmų.

49

Reglamento 2016/679 57 straipsnio, susijusio su visomis priežiūros institucijų užduotimis, 1 dalies a punkte numatyta pagrindinė užduotis – kontroliuoti, kaip taikomas minėtas reglamentas, ir užtikrinti, kad jo būtų laikomasi. Taigi, priešingai, nei per teismo posėdį iš esmės teigė ieškovė, sąlygų, kuriomis atliekamas asmens duomenų tvarkymas, ir to tvarkymo atitikties šiam reglamentui analizė neturi apsiriboti tuo, kas nurodoma skundą pateikusio asmens skunde.

50

Visų pirma, visapusiškas Reglamento 2016/679 57 straipsnio 1 dalies a ir f punktuose numatytų užduočių vykdymo užtikrinimas, atitikties reglamentui užtikrinimas ir skundų nagrinėjimas tiek, kiek reikia, reiškia, kad reikia pasirinkti tinkamą bylos analizės apimtį, atsižvelgiant ne tik į dėl jos pateiktą skundą, bet ir į kitus elementus, kurie gali jį papildyti. Atlikus šią analizę, jei asmens duomenų tvarkymas yra tarpvalstybinis, turi būti priimti sprendimai, kuriems taikoma šio reglamento 60 straipsnyje numatyta bendradarbiavimo procedūra. Šioje procedūroje kriterijus, kuris turi būti tenkinamas tam, kad dėl klausimo galėtų būti priimtas privalomas EDAV sprendimas, priimtas remiantis minėto reglamento 65 straipsnio 1 dalies a punktu, yra tai, kad dėl to sprendimo buvo pareikštas tinkamas ir pagrįstas prieštaravimas, kaip apibrėžta to paties reglamento 4 straipsnio 24 punkte. Tačiau pagal apibrėžtį tinkamas ir pagrįstas prieštaravimas apima aspektus, kurių analizė iš tiesų susijusi su dviem minėtomis užduotimis. Todėl tai, kad tinkamas ir pagrįstas prieštaravimas yra susijęs su analizės apimtimi ir prireikus su tyrimo apimtimi ir kad EDAV imasi veiksmų dėl to, visiškai neprieštarauja šioms užduotims. Be to, tai, kad tarpiniai priežiūros institucijų sprendimai, priimti išnagrinėjus skundą, gali būti skundžiami nacionaliniuose teismuose, neužkerta kelio tam, kad vadovaujančios priežiūros institucijos sprendimo projektą, laikantis Reglamente 2016/679 įtvirtintam nuoseklumo užtikrinimo mechanizmui nustatytų materialinių ribų, galėtų peržiūrėti EDAV.

51

Taigi ieškovės argumentai, susiję su kontekstiniu aiškinimu, neleidžia pagrįsti jos pozicijos dėl EDAV kompetencijos priimti ginčijamas nuostatas nebuvimo.

52

Atvirkščiai, bendras su konkrečiu atveju susijusių priežiūros institucijų bendradarbiavimo pareigos kontekstas, įtvirtintas Reglamente 2016/679, patvirtina EDAV kompetenciją šiuo klausimu. Iš tiesų minėto reglamento 60 straipsnio 1 dalyje, be kita ko, nustatyta, kad „vadovaujanti priežiūros institucija pagal šį straipsnį bendradarbiauja su kitomis susijusiomis priežiūros institucijomis stengdamasi rasti konsensusą“. To paties reglamento 60 straipsnio 3 dalyje nurodyta, kad „vadovaujanti priežiūros institucija nedelsdama perduoda atitinkamą informaciją šiuo klausimu kitoms susijusioms priežiūros institucijoms“ ir kad ji „nedelsdama pateikia sprendimo projektą <…> [siekdama], kad jos pateiktų savo nuomonę, ir deramai atsižvelgia į jų nuomones“.

53

Iš to matyti, kad susijusių priežiūros institucijų bendradarbiavimas visų pirma yra susijęs su viso konkretaus atvejo analize ir sprendimo rengimu, o vadovaujanti priežiūros institucija turi siekti kitų susijusių priežiūros institucijų pritarimo šiuo klausimu. Minėtose nuostatose nėra nieko, kas leistų šios bendradarbiavimo pareigos netaikyti klausimui dėl atliktinos analizės apimties arba, prireikus, klausimui dėl atliktino išankstinio tyrimo apimties. 2021 m. birželio 15 d. Sprendime Facebook Ireland ir kt. (C‑645/19, EU:C:2021:483, 63 ir 64 punktai) Teisingumo Teismas priminė lojalaus ir veiksmingo susijusių priežiūros institucijų dialogo ir bendradarbiavimo poreikį.

54

Iš šio sprendimo 41–53 punktų matyti, kad iš Reglamento 2016/679 nuostatų kylančio konteksto analizė patvirtina pirmiau atliktą pažodinį aiškinimą.

55

Remdamasi teleologiniu aiškinimu ieškovė visų pirma teigia, kad EDAV teisės įpareigoti vadovaujančią priežiūros instituciją parengti papildomo sprendimo projektą ir šiuo tikslu iš anksto išplėsti savo tyrimo apimtį pripažinimas yra nesuderinamas su „vieno langelio“ mechanizmo, kurio teisės aktų leidėjas siekė priimdamas Reglamentą 2016/679, tikslais. Įsteigiant vieną priežiūros instituciją suinteresuotiesiems asmenims buvo siekiama, be kita ko, išvengti bereikalingų išlaidų ir pernelyg didelių nepatogumų, kaip nurodyta šio reglamento 129 konstatuojamojoje dalyje. Tyrimo atnaujinimas vien dėl to, kad priežiūros institucijos nesutaria, prieštarautų šiam tikslui, nes skundo pareiškėjai ir susijusios įmonės būtų priverstos patirti išlaidų ir nepatogumų dėl tyrimo atnaujinimo, nors šis etapas turėjo būti baigtas.

56

Vis dėlto, nesant būtinybės priimti sprendimo dėl teisės aktų leidėjo ketinimų, pakanka konstatuoti, kad vieno langelio principu veikianti įstaiga atitinka procedūrinio supaprastinimo tikslą, kuris negali būti viršesnis už pagrindinį Reglamento 2016/679 tikslą užtikrinti fizinių asmenų pagrindinę teisę į jų asmens duomenų apsaugą. Minėto reglamento pirmoje konstatuojamojoje dalyje šiuo klausimu primenama, jog Pagrindinių teisių chartijos 8 straipsnio 1 dalyje ir SESV 16 straipsnio 1 dalyje nustatyta, kad kiekvienas asmuo turi teisę į savo asmens duomenų apsaugą. Priešingai nei teigia ieškovė, tyrimo išplėtimu, kurio bent pusė priežiūros institucijų būtinai prašo EDAV, nesiekiama apsunkinti skundą pateikusio asmens ar skunde nurodyto duomenų valdytojo užduoties, bet tai yra priemonė jų atitinkamoms teisėms ginti. Be to, vadovaujančios priežiūros institucijos tyrimas ir analizė, iš karto apimanti visus aspektus, būtinus išsamiam galutiniam sprendimui dėl nagrinėjamo atvejo priimti, leidžia išvengti ieškovės nurodytų nepatogumų.

57

Ieškovės argumentą, kad atnaujinus tyrimą vėluojama galutinai išspręsti jau išnagrinėtus ir išspręstus aspektus, taip pat reikia atmesti.

58

Iš tiesų, kaip, beje, šiuo atveju padarė ieškovė, esant tokiai situacijai kompetentinga institucija, priešingai, turi priimti galutinį sprendimą dėl esminių aspektų, išnagrinėtų ir išspręstų po to, kai EDAV priėmė privalomą sprendimą per Reglamento 2016/679 65 straipsnio 6 dalyje numatytą terminą. Tai netrukdo atlikti papildomo tyrimo ir analizuoti dar neišnagrinėtų konkretaus atvejo aspektų.

59

Ieškovė taip pat teigia, kad tai, jog EDAV nesikiša nustatant analizės, kuri turi būti atlikta byloje, apimties (tai yra išankstinis arba procedūrinis klausimas), netrukdo veikti priežiūros institucijų bendradarbiavimo mechanizmui.

60

Vis dėlto bendradarbiavimo mechanizmas ribojamas tuomet, kai susijusioms priežiūros institucijoms nepavyksta rasti konsensuso. Būtent esant tokiai situacijai, kuri aiškiai numatyta Reglamento 2016/679 60 straipsnio 4 dalyje, vadovaujanti priežiūros institucija pateikia nesuderintą klausimą spręsti pagal nuoseklumo užtikrinimo mechanizmą, kurį pritaikius EDAV priima privalomą sprendimą, kaip nurodyta šioje nuostatoje.

61

Galiausiai ieškovė teigia, kad konsensuso nebuvimo klausimą galima išspręsti pasinaudojant nacionaline teismine kontrole. Ji primena, jog Reglamento 2016/679 58 straipsnio 4 dalyje ir 141 konstatuojamojoje dalyje nurodyta, kad tyrimui taikoma veiksminga teisminė kontrolė.

62

Žinoma, jeigu EDAV negali išspręsti problemos, susijusios su vadovaujančios priežiūros institucijos atliktos analizės apimtimi, nacionalinis teismas galėtų įsikišti šiuo klausimu. Vis dėlto Reglamente 2016/679 numatyta, kad problemos, kylančios dėl susijusios priežiūros institucijos tinkamo ir pagrįsto prieštaravimo, kaip tai suprantama pagal minėto reglamento 4 straipsnio 24 punktą, sprendžiamos taikant priežiūros institucijų bendradarbiavimo ir, jei reikia, nuoseklumo užtikrinimo mechanizmus. Tačiau, kaip jau buvo išnagrinėta, problema, susijusi su vadovaujančios priežiūros institucijos atliekamos analizės ir prireikus tyrimo apimtimi, gali būti priežastis pareikšti tinkamą ir pagrįstą prieštaravimą minėta prasme. Taigi galimas kreipimasis į nacionalinį teismą dėl tokio pobūdžio problemos, kuris, beje, nebūtinai būtų lengvas skundo pareiškėjui, gyvenančiam kitoje valstybėje nei ta, kurioje yra vadovaujanti priežiūros institucija, negali reikšti, kad nuolatiniai susijusių priežiūros institucijų nesutarimai dėl klausimų, dėl kurių pareikšti tinkami ir pagrįsti prieštaravimai, negali būti išspręsti EDAV viduje.

63

Iš šio sprendimo 55–62 punktų matyti, kad Reglamento 2016/679 tikslų nagrinėjimas taip pat patvirtina pirmiau atliktą pažodinę analizę.

Dėl argumentų, susijusių su kompetencijos suteikimo Sąjungos įstaigai sąlygomis, nacionaliniu lygmeniu vykdomos teisminės kontrolės ypatumais ir už asmens duomenų apsaugą atsakingų priežiūros institucijų nepriklausomumu

65

Visų pirma ieškovė iš esmės mano, kad pagal kompetencijos suteikimo Sąjungos įstaigai principus neleidžiama Reglamento 2016/679 aiškinti taip, kaip nurodyta ankstesnėse analizėse, t. y. taip, kad pagal jį ginčijama kompetencija suteikiama EDAV.

66

Ieškovė remiasi ESS 5 straipsniu, siekdama priminti, kad Sąjunga gali veikti tik neviršydama jai suteiktų įgaliojimų. Šis principas taikomas Sąjungos institucijoms ir įstaigoms, pavyzdžiui, EDAV. Be to, joms būtų taikoma 1958 m. birželio 13 d. Sprendime Meroni / Vyriausioji valdyba (9/56, EU:C:1958:7) suformuota „Meroni doktrina“, taikytina Sąjungos įstaigoms, pavyzdžiui, Europos vertybinių popierių ir rinkų institucijai (EVPRI), kaip nusprendė Teisingumo Teismas 2014 m. sausio 22 d. Sprendime Jungtinė Karalystė / Parlamentas ir Taryba (C‑270/12, EU:C:2014:18, 53 ir 54 punktai). Pagal šią doktriną reikalaujama, kad Sąjungos įstaigų įgaliojimai būtų tiksliai apibrėžti ir joms būtų galima taikyti teisminę kontrolę atsižvelgiant į susijusiai įstaigai nustatytus tikslus. Konkrečiai kalbant, minėto antrojo sprendimo 45 punkte buvo konstatuota, kad toje byloje aptarti EVPRI įgaliojimai, kuriuos galiausiai patvirtino Teisingumo Teismas, buvo ribojami įvairiais kriterijais ir sąlygomis, kurie riboja tos institucijos veiksmų laisvę. 2021 m. liepos 15 d. Sprendime FBF (C‑911/19, EU:C:2021:599, 67 ir 75 punktai) dėl Europos bankininkystės institucijos (EBI) Teisingumo Teismas patikslino, kad Sąjungos įstaigos įgaliojimus turi aiškiai numatyti teisės aktų leidėjas ir kad šių įgaliojimų teisminė kontrolė turi būti griežta.

67

Šie jurisprudencijoje taikomi principai susiję su EDAV, kuri buvo įsteigta kaip Sąjungos įstaiga pagal Reglamento 2016/679 68 straipsnį.

68

Taigi pirmiausia reikia patikrinti, ar anksčiau šiame sprendime pateiktas aiškinimas leidžia manyti, kad EDAV naudojimasis įgaliojimais, kai ji įpareigoja vadovaujančią priežiūros instituciją išplėsti analizę ir prireikus tyrimą, „ribojamas įvairiais kriterijais ir sąlygomis, kurie riboja [jos] veiksmų laisvę“, kaip Teisingumo Teismas konstatavo dėl EVPRI įgaliojimų, kurie buvo ginčijami byloje, kurioje priimtas 2014 m. sausio 22 d. Sprendimas Jungtinė Karalystė / Parlamentas ir Taryba (C‑270/12, EU:C:2014:18).

69

Šiuo klausimu, kaip matyti iš Reglamento 2016/679 65 straipsnio 1 dalies a punkto, siejamo su šio reglamento 4 straipsnio 24 punktu, šie įgaliojimai įpareigoti vadovaujančią priežiūros instituciją išplėsti analizę ir prireikus tyrimą gali būti įgyvendinti tik po to, kai susijusi priežiūros institucija suformuluoja tinkamą ir pagrįstą prieštaravimą dėl vadovaujančios priežiūros institucijos sprendimo projekto atitinkamu atveju, o tas prieštaravimas susijęs su klausimo, „ar buvo pažeistas <…> Reglamentas [2016/679] arba ar numatomi veiksmai, susiję su duomenų valdytoju ar duomenų tvarkytoju, atitinka [šį] reglamentą“, analizės neatlikimu ir „aiškiai parodo, kad sprendimo projektas kelia didelį pavojų duomenų subjektų pagrindinėms teisėms ir laisvėms ir, kai taikytina, laisvam asmens duomenų judėjimui Sąjungoje“.

70

Be to, pagal Reglamento 2016/679 65 straipsnio 2 ir 3 dalis minėtų įgaliojimų įgyvendinimas reiškia, kad EDAV dviejų trečdalių balsų dauguma arba tam tikromis aplinkybėmis ne mažiau kaip pusė jos narių, įskaitant pirmininką balsams pasiskirsčius po lygiai, iš esmės patvirtino šį tinkamą ir pagrįstą prieštaravimą ir veiksmus, kurių reikia imtis dėl jo. Taigi būtina, kad nemaža dalis priežiūros institucijų patvirtintų, jog nagrinėjamo atvejo svarbaus aspekto analizė yra neatlikta arba yra nepakankama, ir sutartų, kokių veiksmų turi imtis vadovaujanti priežiūros institucija, kad ištaisytų šią problemą. Šiuo klausimu reikia atsižvelgti į tai, kad pačią EDAV sudaro daug nepriklausomų institucijų, kurios specializuojasi šioje srityje, todėl daugumos jų vieninga nuomonė EDAV viduje užtikrina naudojimąsi šiais įgaliojimais. Be to, nors šio sprendimo 69 punkte priminta sąvoka „tinkamas ir pagrįstas prieštaravimas“ neabejotinai palieka veiksmų laisvę, visų pirma nustatant, ar atitinkamas duomenų valdytojas arba duomenų tvarkytojas pažeidė Reglamentą 2016/679 arba ar toks aspektas turi būti nagrinėjamas siekiant išsiaiškinti, ar visi šie klausimai susiję su konkrečiomis šiame reglamente įtvirtintomis teisės normomis, o tai neleidžia naudotis „plačia diskrecija“.

71

Taigi apibendrinant, kiek tai susiję su ieškovės ginčijamu EDAV įgaliojimų apribojimo klausimu, reikia konstatuoti, kad, pirma, šie įgaliojimai įgyvendinami tik tuo atveju, kai aiškiai nustatomi vadovaujančios priežiūros institucijos analizės trūkumai nagrinėjant bylą ir kai tie trūkumai gali turėti reikšmingų pasekmių, kaip matyti iš Reglamento 2016/679 4 straipsnio 24 dalyje pateiktos tinkamo ir pagrįsto prieštaravimo apibrėžties, ir, antra, kad šie įgaliojimai kyla iš bendro EDAV sudarančių priežiūros institucijų vertinimo, atliekamo laikantis 70 punkte nurodytų sąlygų.

72

Dėl klausimo, ar nagrinėjami įgaliojimai yra „aiškiai“ (pranc. „explicitement“) numatyti teisės aktų leidėjo, reikia pabrėžti, kad [prancūzų kalboje] prieveiksmis „explicitement“ ir prieveiksmiai „expressément“ ir „clairement“ (lietuvių kalboje vienas prieveiksmis „aiškiai“), kurie yra sinonimai ir susiję atitinkamai su būdvardžiais „explicite“, „exprès“ ir „clair“ (liet. „aiškus“) reiškia, kad nekyla abejonių dėl to, kas išdėstyta. Iš pirmiau pateikto pažodinio, kontekstinio ir teleologinio aiškinimo matyti, jog nėra abejonių, kad EDAV turi ginčijamą kompetenciją, taigi ir dėl to, kad teisės aktų leidėjas ją aiškiai numatė. Galima pažymėti, kad 2021 m. liepos 15 d. Sprendime FBF (C‑911/19, EU:C:2021:599), susijusiame su EBI, šios institucijos gairės, dėl kurių buvo ginčijamasi, ar ji turėjo kompetenciją jas priimti, buvo susijusios su „mažmeninės bankininkystės produktų priežiūros ir valdymo tvarka“. Nė viename iš tai institucijai taikytinų teisės aktų nebuvo nurodyta, kad ji gali priimti gaires šiuo klausimu. Analizuodamas visus dokumentus, t. y. EBI steigimo reglamentą, kuriame bendrai numatyta EBI kompetencija priimti gaires tam tikrais tikslais, ir įvairias direktyvas dėl įstaigų ir finansinių produktų, Teisingumo Teismas nusprendė, kad ginčijamos gairės patenka į minėtos kompetencijos sritį.

73

Be to, reikia konstatuoti, kad EDAV įgaliojimų įpareigoti vadovaujančią priežiūros instituciją išplėsti savo analizę ir prireikus tyrimą įgyvendinimui iš tiesų gali būti taikoma teisminė kontrolė. Žinoma, nagrinėjamu atveju ieškovė nusprendė ginčyti ginčijamas nuostatas tik dėl EDAV kompetencijos nebuvimo ir neginčijo konkretaus jos atlikto tam tikrų priežiūros institucijų prieštaravimų, pateiktų dėl jos sprendimo projektų, vertinimo, dėl kurio buvo priimtos tos nuostatos. Vis dėlto Sąjungos Teismas, neperžengdamas jam pateiktų pagrindų ribų, gali patikrinti tokių nuostatų teisėtumą iš esmės, atsižvelgdamas į bylos aplinkybes. Be kita ko, pirma, jis gali patikrinti, ar priimdama tokio pobūdžio nuostatas EDAV iš tiesų veikė atsižvelgdama į tinkamą ir pagrįstą prieštaravimą, kaip apibrėžta Reglamento 2016/679 4 straipsnio 24 punkte. Antra, jis gali patikrinti tokių nuostatų, pagal kurias duodami nurodymai priežiūros institucijoms, turinio teisėtumą.

74

Tokia teisminė kontrolė yra „griežta“, kaip tai suprantama pagal 2021 m. liepos 15 d. Sprendimą FBF (C‑911/19, EU:C:2021:599, 67 punktas). Iš tiesų teisėtumo klausimus sprendžiantis teismas paprastai yra saistomas savo iniciatyva ir proceso taisyklių, o jo kontrolė yra neišvengiamai griežta, jei jis visapusiškai vykdo savo funkcijas pagal šias taisykles. Kalbant apie esminius klausimus, pažymėtina, kad būtent atsižvelgdamas į diskreciją, kurią turi ar neturi ginčijamo akto rengėjas, teisėtumą tikrinantis teismas atlieka įprastą kontrolę (iš esmės kiek tai susiję su teisiniais aspektais, faktinių aplinkybių nustatymu ir ribotos kompetencijos atvejais) arba ribotą kontrolę (iš esmės dėl sudėtingų techninių aspektų arba kai institucija turi diskreciją, t. y. kai teismas skiria sankciją tik už akivaizdžią vertinimo klaidą) (šiuo klausimu pagal analogiją, kiek tai susiję su nacionalinio teismo vykdoma nacionalinių institucijų sprendimų asmens duomenų apsaugos srityje kontrole, žr. 2023 m. gruodžio 7 d. Sprendimo SCHUFA Holding (Atleidimas nuo likusios skolos), C‑26/22 ir C‑64/22, EU:C:2023:958, 68 ir 69 punktus).

75

Iš šio sprendimo 67–74 punktų matyti, kad kompetencijos suteikimo Sąjungos įstaigai sąlygos nedraudžia atlikti anksčiau šiame sprendime nurodytos analizės.

76

Be to, ieškovė nurodo įvairias priežastis, įrodančias, kad nacionaliniai teismai yra „tinkami teismai“ ginčams, susijusiems su tyrimu, nagrinėti, t. y. kad jie geriausiai gali tai padaryti.

77

Vis dėlto, kaip nurodyta šio sprendimo 62 punkte, Sąjungos teisės aktų leidėjas nusprendė, kad išliekantys susijusių priežiūros institucijų nesutarimai, susiję su konkretaus atvejo analizės apimtimi ir prireikus su jo tyrimo apimtimi, turi būti sprendžiami taikant EDAV nuoseklumo užtikrinimo mechanizmą. Todėl ieškovės argumentai, kuriais siekiama įrodyti, kad nacionaliniai teismai yra „tinkami teismai“ su tyrimu susijusiems ginčams nagrinėti, yra nereikšmingi.

78

Reikia pridurti, kad tiek nacionaliniam teismui, tiek EDAV gali tekti priimti sprendimą dėl analizės ir tyrimo apimties, kad SESV 101 ir 102 straipsniuose nustatytų konkurencijos taisyklių taikymo srityje, kur atsakomybe už Sąjungos politikos įgyvendinimą yra dalijamasi nacionaliniu ir Sąjungos lygmenimis, Teisingumo Teismo jurisprudencijoje yra nustatyti tam tikri principai, kuriais siekiama koordinuoti nacionalinių teismų ir Sąjungos institucijos, atsakingos už nagrinėjamos politikos taikymo nuoseklumą, t. y. Komisijos, veiksmus (1991 m. vasario 28 d. Sprendimas Delimitis, C‑234/89, EU:C:1991:91 ir 2000 m. gruodžio 14 d. Sprendimas Masterfoods ir HB, C‑344/98, EU:C:2000:689). Nors ir negalima atmesti galimybės, kad taikydamas šiuos principus nacionalinis teismas gali nuspręsti, jog geriau sustabdyti bylos nagrinėjimą, kol bus priimtas kompetentingos Sąjungos institucijos sprendimas, arba kad priėmus tą sprendimą jis gali būti to sprendimo saistomas, išskyrus atvejus, kai jam kyla abejonių dėl jo galiojimo ir jis prašo Teisingumo Teismo atlikti su tuo susijusį vertinimą ir priimti prejudicinį sprendimą, tokios situacijos yra būdingos tokiam atsakomybės pasidalijimui ir būtinybei užtikrinti atitinkamos politikos taikymo nuoseklumą visoje Sąjungoje.

79

Taip pat reikia pridurti, kad, priešingai, nei teigia ieškovė, privalomas EDAV sprendimas, priimtas remiantis Reglamento 2016/679 65 straipsnio 1 dalies a punktu, pagal kurį reikalaujama išplėsti analizę ir tyrimą, nekelia abejonių dėl EDAV gebėjimo nustatyti įvairių savo, kaip nepriklausomos institucijos, užduočių atlikimo prioritetus, o tai turėtų tikrinti tik nacionalinis teismas. Apskritai ji taip pat nekelia abejonių dėl savo nepriklausomumo, įtvirtinto ESS 39 straipsnyje, SESV 16 straipsnio 2 dalyje ir Pagrindinių teisių chartijos 8 straipsnio 3 dalyje.

80

Pirma, nesvarbu, ar tai būtų daroma savo iniciatyva susijusių priežiūros institucijų bendradarbiavimo etape po to, kai jų tarnybos ėmėsi atitinkamų veiksmų, ar priėmus tokį privalomą sprendimą, jeigu vadovaujanti priežiūros institucija turi papildyti savo analizę ir tyrimą konkrečiu atveju, EDAV neprivalo to daryti kitų bylų nenaudai (nutraukdama kitas bylas), ir teikti tam pirmenybę, palyginti su kitomis savo užduotimis. Pavyzdžiui, ji gali paskelbti, kad pirmame sprendimo projekte arba priimtame pirminiame sprendime nagrinėjama tik dalis konkrečiame atvejyje iškeltų klausimų ir kad ji tęs analizę ir tyrimą vėlesniame etape.

81

Tik Reglamento 2016/679 66 straipsnyje numatytomis aplinkybėmis, kai kita susijusi priežiūros institucija mano, kad būtina imtis skubių veiksmų duomenų subjektų teisėms ir laisvėms apsaugoti, skubos tvarka priimtu privalomu EDAV sprendimu gali būti reikalaujama, kad vadovaujanti priežiūros institucija nedelsdama peržiūrėtų savo prioritetų, kurių reikia konkrečiam atvejui išnagrinėti, tvarką. Taigi teisės aktų leidėjas numatė šią galimybę tik išimtiniais atvejais. Iš tiesų privalomi sprendimai Nr. 3/2022, 4/2022 ir 5/2022 buvo priimti ne pagal minėtą 66 straipsnį, todėl juose ieškovei nebuvo nustatyta įvairių jos užduočių pirmumo tvarkos.

82

Antra, pirminės teisės nuostatos, kuriomis remiasi ieškovė, nereiškia absoliutaus valstybių narių institucijų, kurioms visų pirma pavesta užtikrinti asmens duomenų apsaugą reglamentuojančių taisyklių taikymą, nepriklausomumo, t. y. jokios kontrolės nebuvimo. Šiose nuostatose tik nurodyta, kad minėtų taisyklių laikymosi kontrolė patikėta nepriklausomoms institucijoms, taigi jokiais būdais nedraudžiama taikyti nei nepriklausomų institucijų tarpusavio priežiūros sistemos, kaip antai Reglamente 2016/679 numatytų bendradarbiavimo ir nuoseklumo užtikrinimo mechanizmų, nei, žinoma, teisminės kontrolės dėl įvairių dalyvaujančių institucijų priimtų sprendimų. Svarbu, kad patys priežiūros pareigūnai būtų nepriklausomi. Taip yra EDAV atveju, nes ją sudaro valstybių narių priežiūros institucijos ir Europos duomenų apsaugos priežiūros pareigūnas, kuris pats yra nepriklausomas nuo jo prižiūrimų Sąjungos institucijų ir kitų įstaigų.

Dėl bylinėjimosi išlaidų

84

Pagal [Bendrojo Teismo] procedūros reglamento 134 straipsnio 1 dalį iš pralaimėjusios šalies priteisiamos bylinėjimosi išlaidos, jei laimėjusi šalis to reikalavo. Kadangi ieškovė pralaimėjo bylą, iš jos priteisiamos bylinėjimosi išlaidos pagal EDAV pateiktus reikalavimus.

1.

Atmesti ieškinius bylose T‑70/23, T‑84/23 ir T‑111/23.

2.

Priteisti iš Data Protection Commission bylinėjimosi išlaidas.