1.

Kas juhul, kui töödeldavate isikuandmete subjekt soovib vastutavalt töötlejalt teavet kolmandate isikute kohta, kellele neid andmeid avaldatakse, hõlmab tema õigus andmetega tutvuda kindlasti teavet tema isikuandmete konkreetsete vastuvõtjate kohta või võib vastutav töötleja piirduda üksnes teabe andmisega andmete vastuvõtjate kategooriate kohta?

2.

Selline on oma sisult küsimus, millele tuleb Euroopa Kohtul vastata käesoleva eelotsusetaotluse alusel, mille on Euroopa Kohtule esitanud eelotsust taotlev kohus Oberster Gerichtshof (Austria kõrgeim üldkohus) selle kohta, kuidas tõlgendada Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruse (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) ( 2 ) artikli 15 lõike 1 punkti c.

3.

Eelotsusetaotluse esitanud kohtu küsimus tekkis vaidluse raames, mille pooled on füüsiline isik RW ning Austria põhiline posti- ja logistikateenuste osutaja Österreichische Post, kes jättis siis, kui RW esitas taotluse oma isikuandmetega tutvumiseks, talle andmata teabe konkreetsete vastuvõtjate kohta, kellele tema isikuandmeid on avaldatud.

4.

Isikuandmete kaitse üldmääruse artikli 15 „Andmesubjekti õigus tutvuda andmetega“ lõike 1 punktis c on sätestatud:

„1.   Andmesubjektil on õigus saada vastutavalt töötlejalt kinnitust selle kohta, kas teda käsitlevaid isikuandmeid töödeldakse, ning sellisel juhul tutvuda isikuandmete ja järgmise teabega:

[…]

[…]“.

5.

RW, kes on esitanud kassatsioonkaebuse eelotsusetaotluse esitanud kohtule, pöördus 15. jaanuaril 2019 Österreichische Posti poole, et ta saaks isikuandmete kaitse üldmääruse artikli 15 alusel muu hulgas tutvuda teda puudutavate isikuandmetega, mida Österreichische Post säilitab või on varasemal ajal säilitanud, ning juhul, kui neid andmeid on avaldatud kolmandatele isikutele, siis teabega vastuvõtjate isiku kohta.

6.

Oma vastuses teatas Österreichische Post, et kasutab andmeid seadusega lubatud ulatuses oma tegevuse, nimelt otseturunduseks aadresside ja telefoninumbrite vahendamise raames ning pakub neid äriklientidele turunduse jaoks. Seejärel viitas ta veebilehele, kust võis leida üldist teavet, mis eesmärgil RW andmeid töödeldakse, ning kus oli link järgmisele veebilehele. Sellel järgmisel veebilehel oli omakorda üldine andmekaitseteatis ja seal anti üldist teavet vastuvõtjate kategooriate kohta, kellele Österreichische Post isikuandmeid avaldas. RW andmete konkreetseid vastuvõtjaid ei avaldanud Österreichische Post talle aga kordagi.

7.

RW esitas kohtule hagi, paludes, et Österreichische Posti kohustataks isikuandmete kaitse üldmääruse artikli 15 alusel esitama talle täpsemat teavet selle kohta, kas tema isikuandmeid on kolmandatele isikutele edastatud, ning kui neid on tõepoolest edastatud, siis esitama talle ka teabe konkreetsete vastuvõtja(te) kohta, kellele tema isikuandmeid on avaldatud või edaspidi avaldatakse. RW väitel ei vasta Österreichische Posti esitatud teave isikuandmete kaitse üldmääruse artiklis 15 sätestatud tingimustele, sest sellest ei nähtu, kas Österreichische Post edastas tema isikuandmeid kolmandatele isikutele või mitte, ja kui neid andmeid tõepoolest edastati, siis kes olid avaldatud andmete konkreetsed vastuvõtjad.

8.

Esimese astme kohus ja apellatsioonikohus jätsid RW nõude rahuldamata, asudes sisuliselt seisukohale, et kuna isikuandmete kaitse üldmääruse artikli 15 lõike 1 punktis c on mainitud vastuvõtjaid või vastuvõtjate kategooriaid, annab see säte vastutavale töötlejale võimaluse valida, kas ta piirdub andmesubjektile vastuvõtjate kategooria teatavakstegemisega, ilma kohustuseta nimetada kõnealuste isikuandmete konkreetseid vastuvõtjaid nimeliselt.

9.

Eelotsusetaotluse esitanud kohtule esitatud kassatsioonkaebuses jäi RW oma nõuete juurde.

10.

Selle kohtu menetluse käigus teatas Österreichische Post RW‑le, et on turunduse eesmärgil töödelnud tema andmeid otseturunduseks aadresside ja telefoninumbrite vahendamise raames ning edastanud neid äriklientidele, sealhulgas reklaamiettevõtjatele kaugmüügi ja traditsioonilise kaubanduse valdkonnas, IT-ettevõtjatele, otseturunduse vahendajatele ning mitmesugustele ühingutele, näiteks heategevusorganisatsioonidele, vabaühendustele või parteidele. RW andmete konkreetseid vastuvõtjaid ta aga teatavaks ei teinud.

11.

Neil asjaoludel on eelotsusetaotluse esitanud kohtul kahtlusi seoses sellega, kuidas asja sisuliselt arutanud kohtud isikuandmete kaitse üldmääruse artiklit 15 tõlgendasid, ning seetõttu otsustas ta menetluse peatada ja esitada Euroopa Kohtule järgmise eelotsuse küsimuse:

„Kas [isikuandmete kaitse üldmääruse] artikli 15 lõike 1 punkti c tuleb tõlgendada nii, et kui andmete avaldamist kavandades ei ole konkreetsed vastuvõtjad veel teada, siis piirdub andmesubjekti õigus andmetega tutvuda vastuvõtjate kategooriate kohta antava teabega, ent juhul, kui andmed on juba vastuvõtjatele avaldatud, peab andmetega tutvumise õigus igal juhul hõlmama ka vastuvõtjaid?“

12.

Oma eelotsuse küsimusega palub eelotsusetaotluse esitanud kohus Euroopa Kohtul tõlgendada isikuandmete kaitse üldmääruse artikli 15 lõike 1 punkti c sellest aspektist, milline ulatus on selle artikliga andmesubjektile antud õigusel saada vastutavalt töötlejalt teavet nende vastuvõtjate või vastuvõtjakategooriate kohta, kellele tema isikuandmeid on juba avaldatud või edaspidi avaldatakse.

13.

Eelotsusetaotluse esitanud kohus soovib teada, kas seda sätet tuleb tõlgendada nii, et andmesubjekti õigus andmetega tutvuda peaks olema eri ulatusega olenevalt sellest, kas andmed on juba avaldatud – mispuhul peaks see õigus hõlmama konkreetseid vastuvõtjaid – või ei ole edaspidi avaldatavate andmete konkreetseid vastuvõtjaid veel teada, mispuhul tuleb asuda seisukohale, et see õigus piirdub teabega vastuvõtjate kategooriate kohta.

14.

Sellega seoses tuleb kõigepealt märkida, et isikuandmete kaitse üldmääruse artikkel 15 reguleerib andmesubjekti õigust sellele, et vastutav töötaja laseks tal tutvuda teda puudutavate töödeldavate isikuandmetega ning annaks talle mitmesugust teavet, sealhulgas selle töötlemise enda kohta. See säte konkretiseerib ja täpsustab iga isiku õigust tema kohta käivate andmetega tutvuda, mis on sätestatud Euroopa Liidu põhiõiguste harta artikli 8 lõike 2 teises lauses. ( 3 )

15.

Täpsemalt on andmesubjektil isikuandmete kaitse üldmääruse artikli 15 lõike 1 kohaselt esiteks õigus nõuda vastutavalt töötlejalt kinnitust, kas teda käsitlevaid isikuandmeid töödeldakse või mitte. Kui andmeid töödeldakse, on andmesubjektil õigus tutvuda töödeldavate isikuandmetega, samuti mitmesuguste muude andmetega, mis on kõik loetletud selle sätte punktides a–h. Sellises kontekstis on andmesubjektil isikuandmete kaitse üldmääruse artikli 15 lõike 1 punkti c kohaselt õigus tutvuda teabega „[vastuvõtjate või vastuvõtjate kategooriate kohta], kellele isikuandmeid on avalikustatud või avalikustatakse, eelkõige kolmandates riikides [olevate vastuvõtjate või rahvusvaheliste organisatsioonide kohta]“.

16.

Eelotsusetaotluse esitanud kohtu esitatud küsimus eeldab isikuandmete kaitse üldmääruse artikli 15 lõike 1 punkti c tõlgendamist, et teha kindlaks, milline ulatus on selle sättega andmesubjektile antud õigusel saada teavet oma isikuandmete vastuvõtjate kohta.

17.

Seoses sellega tuleb sedastada, et väljakujunenud kohtupraktika kohaselt ei tule liidu õigusnormi tõlgendamisel arvesse võtta mitte ainult normi sõnastust, vaid ka konteksti ning selle õigusakti eesmärke, mille osa õigusnorm on. ( 4 )

18.

Kuna isikuandmete kaitse üldmäärus reguleerib isikuandmete töötlemist, mis võib riivata põhivabadusi, iseäranis õigust eraelu puutumatusele, tuleb nende tõlgendamisel lisaks kindlasti lähtuda hartaga tagatud põhiõigustest. ( 5 )

19.

Edasi ilmneb väljakujunenud kohtupraktikast, et kui liidu õiguse sätet on võimalik tõlgendada mitut moodi, tuleb eelistada tõlgendust, mis tagab selle sätte soovitava toime. ( 6 )

20.

Kõigepealt, mis puutub kõnealuse sätte sõnastusse, siis nagu on märkinud eelotsusetaotluse esitanud kohus ise ja mitu Euroopa Kohtus menetlusse astujat, ei võimalda isikuandmete kaitse üldmääruse artikli 15 lõike 1 punkti c sõnastus anda lõplikku vastust küsimusele, kas selles sättes andmesubjektile ette nähtud õigust andmetega tutvuda tuleb igal juhul käsitada nii, et see hõlmab teavet konkreetsete vastuvõtjate kohta, kellele tema kohta käivaid isikuandmeid avaldatud on, või piirdub see üksnes teabega vastuvõtjate kategooriate kohta. Nimelt kasutatakse selles sättes mõisteid „vastuvõtjad“ ja „vastuvõtjate kategooriad“ üksteise järel ja neutraalselt, ilma et sellest saaks järeldada nende prioriteetsuse järjekorda. See säte ei täpsusta otsesõnu ka seda, kas kahe ette nähtud teabekategooria (ehk „vastuvõtjate“ ja „vastuvõtjate kategooriate“ kohta käiva teabe) vahel võib valida, ega seda, et kui võib, siis kelle pädevuses (ehk kas andmesubjekti või vastutava töötleja pädevuses) on valida, mis liiki teabega tutvumine peab tagatud olema.

21.

Nagu märgib ka eelotsusetaotluse esitanud kohus, suunab isikuandmete kaitse üldmääruse artikli 15 lõike 1 ülesehitus minu arvates eelistama kõnealuse sätte sellist tõlgendust, et kahe selles sättes ette nähtud alternatiivi vahel valimise õigus on andmesubjektil (ja seega mitte vastutaval töötlejal, nagu otsustasid kaks liikmesriigi kohut, kes asja sisuliselt arutasid). Erinevalt muudest isikuandmete kaitse üldmääruse sätetest, näiteks artiklitest 13 ja 14, ( 7 ) mille ülesehitusest tuleneb vastutava töötleja teavitamiskohustus, annab kõnealune säte andmesubjektile tegeliku õiguse andmetega tutvuda. Selleks, et andmesubjekt seda tutvumisõigust kasutada saaks, on loogiline eeldada, et selle õigusega isikule antakse võimalus valida, kas ta tutvub võimaluse korral teabega konkreetsete vastuvõtjate kohta, kellele andmed on avaldatud või edaspidi avaldatakse, või piirdub ta teise võimalusena teabe küsimisega vastuvõtjate kategooriate kohta.

22.

Isikuandmete kaitse üldmääruse artikli 15 lõike 1 punkti c tõlgendus, mille kohaselt näeb see säte ette andmesubjekti õiguse tutvuda võimaluse korral teabega tema isikuandmete konkreetsete vastuvõtjate kohta, leiab kinnitust ka siis, kui analüüsida konteksti, milles säte asub, või sätte eesmärki, lähtudes isikuandmete kaitse üldmääruse eesmärkidest ja üldisest ülesehitusest.

23.

Märgin selle kohta kõigepealt, et isikuandmete kaitse üldmääruse põhjenduses 63 on sõnaselgelt öeldud, et andmesubjektil peaks olema „õigus teada […] isikuandmete vastuvõtjaid […] ning saada eelneva kohta teate“. Selles põhjenduses, millest lähtudes tuleb kõnealust sätet tõlgendada, peetakse silmas andmesubjekti õigust saada teavet tema isikuandmete konkreetsete vastuvõtjate kohta ning seal ei ole kuidagi öeldud, et seda õigust võiks vastutava töötleja äranägemist mööda piirata nii, et see hõlmaks ainult vastuvõtjate kategooriaid.

24.

Lisaks ilmneb kohtupraktikast sõnaselgelt, et nagu selgub isikuandmete kaitse üldmääruse põhjendusest 10, on määruse eesmärk eelkõige tagada liidus füüsiliste isikute kõrgetasemeline kaitse ning tagada selleks kogu liidus füüsiliste isikute põhiõiguste ja -vabaduste kaitse eeskirjade järjekindel ning ühtne kohaldamine isikuandmete töötlemisel. ( 8 )

25.

Selleks tuleb igasugusel isikuandmete töötlemisel järgida selle määruse artiklis 5 sätestatud põhimõtteid. ( 9 ) Täpsemalt on isikuandmete kaitse üldmääruse artikli 5 lõike 1 punktis a sätestatud, et isikuandmete töötlemine peab olema andmesubjektile läbipaistev. ( 10 ) Selles kontekstis on isikuandmete kaitse üldmääruse artikkel 15, mis reguleerib andmesubjekti õigust andmetega tutvuda, üks tähtsamaid sätteid tagamaks, et andmete töötlemise tingimused oleksid andmesubjektide jaoks läbipaistvad.

26.

Nagu nähtub isikuandmete kaitse üldmääruse põhjendusest 63, ( 11 ) on andmetega tutvumise õiguse eesmärk esiteks see, et andmesubjekt saaks olla töötlemisest teadlik ja kontrollida selle seaduslikkust ( 12 ). Selle õiguse teostamine peab eeskätt võimaldama andmesubjektil kontrollida lisaks sellele, kas teda puudutavad andmed on õiged, ka seda, et neid avaldataks heakskiidetud vastuvõtjatele. ( 13 ) See eeldab põhimõtteliselt, et talle antakse võimalikult täpset teavet.

27.

Selles kontekstis olen komisjoniga nõus, et kui andmesubjekti õigus andmetega tutvuda, mis on ette nähtud isikuandmete kaitse üldmääruse artikli 15 lõike 1 punktis c, ei hõlmaks konkreetseid adressaate ja piirduks üksnes vastuvõtjate kategooriatega, tähendaks see, et andmesubjektil takistataks vastutava töötleja andmetöötluse seaduslikkust täielikult kontrollida ning konkreetsemalt takistaks see kontrollida, kas juba avaldatud andmeid on avaldatud seaduslikult. Selline kõnealuse sätte tõlgendus ei laseks andmesubjektil kontrollida, kas tema andmed on saadetud ainult heakskiidetud vastuvõtjatele, ning see oleks eelmises punktis viidatud nõuetega vastuolus.

28.

Teiseks, nagu on leidnud ka Euroopa Kohus, on see andmetega tutvumise õigus esimese eesmärgi aspektist vajalik selleks, et andmesubjekt saaks kasutada oma õigust isikuandmete parandamisele, kustutamisele („õigus olla unustatud“) ja nende töötlemise piiramisele, mis on talle antud isikuandmete kaitse üldmääruse artiklitega 16, 17 ja 18. ( 14 ) Samuti on Euroopa Kohus täpsustanud, et õigus andmetega tutvuda on vajalik ka selleks, et andmesubjekt saaks kasutada isikuandmete kaitse üldmääruse artiklis 21 ette nähtud õigust esitada oma isikuandmete töötlemisele vastuväiteid või isikuandmete kaitse üldmääruse artiklites 79 ja 82 ette nähtud õigust pöörduda talle kahju tekitamise korral kohtusse ja saada kahju eest hüvitist. ( 15 )

29.

Kui tõlgendada kõnealust sätet nii, et see ei anna andmesubjektile võimalust saada teavet konkreetsete vastuvõtjate kohta, kellele tema isikuandmeid avaldatud on, oleks selle tagajärg, et kuna andmesubjekt nende isikut ei tea, ei saa ta kasutada nende suhtes õigusi, mis on talle isikuandmete kaitse üldmääruse eelviidatud sätetega antud, või saab ta neid kasutada üksnes ülemäärase jõupingutusega. ( 16 ) Seega võtaks selline tõlgendus neilt sätetelt ning nendega antud õigustelt niisugustes olukordades soovitava toime.

30.

Kontekstuaalsest vaatenurgast kinnitab isikuandmete kaitse üldmääruse artikli 15 lõike 1 punkti c eelkirjeldatud tõlgendust ka sama määruse artiklis 19 sätestatu. Selles sättes on ette nähtud, et „[v]astutav töötleja edastab teabe isikuandmete parandamise, kustutamise või isikuandmete töötlemise piiramise kohta vastavalt artiklile 16, artikli 17 lõikele 1 ja artiklile 18 kõigile vastuvõtjatele, kellele isikuandmed on avaldatud, välja arvatud juhul, kui see osutub võimatuks või nõuab ebaproportsionaalseid jõupingutusi“.

31.

Niisiis kohustab isikuandmete kaitse üldmääruse artikkel 19 vastutavat töötlejat teavitama kõiki vastuvõtjaid, kellele ta on isikuandmeid edastanud, kõigist nende andmete parandamise, kustutamise või töötlemise piiramise taotlustest, mida ta peab menetlema. Seega on niiviisi teavitatud vastuvõtjad kohustatud need andmed viivitamata parandama, kustutama või nende töötlemist piirama, kui nad kõnealuseid andmeid veel töötlevad. Eespool punktis 24 nimetatud kõrgetasemelise kaitse tagamise eesmärgi saavutamise kontekstis on isikuandmete kaitse üldmääruse artikli 19 eesmärk seega vabastada andmesubjekt – pärast seda, kui ta on isikuandmete kaitse üldmääruse artikli 15 lõike 1 punkti c alusel teavet taotlenud – vajadusest saata asjaomastele vastuvõtjatele lisaks veel parandamise, kustutamise või töötlemise piiramise taotlusi. Andmesubjektil peab siiski olema võimalik kontrollida, kas pärast seda, kui vastutav töötleja on vastava teate saatnud, on andmeid ka päriselt parandatud, need kustutatud või nende töötlemist piiratud. Selleks on isikuandmete kaitse üldmääruse artiklis 19 seega ette nähtud, et vastutav töötleja peab andmesubjekti taotlusel teda neist vastuvõtjatest teavitama.

32.

Isikuandmete kaitse üldmääruse artikkel 19 kinnitab, et tagamaks, et isikuandmete kaitse üldmääruse artiklitega 16, 17 ja 18 andmesubjektile antud õigustel andmete kustutamisele, parandamisele või töötlemise piiramisele oleks soovitav toime, peab andmesubjektil põhimõtteliselt olema õigus, et talle antaks teada konkreetsed vastuvõtjad, kui tema isikuandmed on juba avaldatud. Ainult nii saab andmesubjekt nende suhtes oma õigusi maksma panna.

33.

Eeltoodud kaalutlustest järeldub, et isikuandmete kaitse üldmääruse artikli 15 lõike 1 punkti c kohane õigus andmetega tutvuda on muude õiguste suhtes, mis on andmesubjektile selle määrusega ette nähtud, funktsionaalses ja vahendlikus rollis. Järelikult tuleb selleks, et tagada isikuandmete kaitse üldmääruse kõigi eelviidatud sätete soovitav toime, tõlgendada seda sätet nii, et selles ette nähtud õigus andmetega tutvuda peab põhimõtteliselt tingimata hõlmama võimalust saada vastutavalt töötlejalt teavet konkreetsete vastuvõtjate kohta, kellele andmesubjekti isikuandmeid on avaldatud.

34.

Isikuandmete kaitse üldmääruse artikli 15 lõike 1 punkti c kohase andmetega tutvumise õiguse laiendamisel konkreetsetele vastuvõtjatele on minu arvates siiski vähemalt kahel juhul piir.

35.

Esiteks, kui konkreetsete vastuvõtjate kohta on sisulistel põhjustel võimatu teavet anda, näiteks sellepärast, et neid ei ole veel tegelikult teada, on ilmne, et vastutavalt töötlejalt ei saa nõuda teavet, mida pole veel olemas. Sellisel juhul, mida on eelotsuse küsimuses ka sõnaselgelt mainitud, saab andmesubjekti õigus andmetega tutvuda seega puudutada üksnes vastuvõtjate kategooriaid.

36.

Teiseks, nagu märkis Itaalia valitsus, tuleb andmesubjekti teabesaamise õiguse kasutamist ja vastutava töötleja vastava kohustuse täitmist vaadelda õigsuse ning proportsionaalsuse põhimõtete aspektist.

37.

Selle kohta tuleb meenutada, et Euroopa Kohtu praktika kohaselt ei ole harta artiklites 7 ja 8 sätestatud õigused absoluutsed eelisõigused, vaid neid tuleb arvestada kooskõlas nende ülesandega ühiskonnas. ( 17 )

38.

Niisuguses kontekstis on artikli 12 lõikes 5, mis kuulub sõnaselgelt kohaldamisele ka sätte suhtes, mille kohta on esitatud eelotsuse küsimus, ühest küljest otsesõnu ette nähtud, et andmesubjekti taotlused ei tohi olla ilmselgelt põhjendamatud ega ülemäärased ning sel juhul võib vastutav töötleja keelduda ka taotletud meetmete võtmisest. Samast sättest tuleneb ka, et sel töötlejal lasub „kohustus tõendada, et taotlus on selgelt põhjendamatu või ülemäärane“.

39.

Teisest küljest on Euroopa Kohus ise selgitanud, et isiku huvi kaitsta oma eraelu puutumatust, eriti kui ta kasutab isikuandmete kaitse üldmääruse III peatükis ette nähtud õigusi ja kohtusse pöördumise võimalust, tuleb seada õiglasse tasakaalu vastutava töötleja kohustustega. ( 18 ) Selle õiglase tasakaaluga soovitakse pöörata suuremat tähelepanu andmesubjekti andmete ja eraelu kaitsele ning seda väljendab ka nõue, et andmesubjekti teabetaotluse rahuldamata jätmiseks tuleb tõendada, et see on selgelt põhjendamatu või ülemäärane.

40.

Kõigist eeltoodud kaalutlustest lähtudes teen Euroopa Kohtule ettepaneku vastata Oberster Gerichtshofi (Austria kõrgeim üldkohus) eelotsuse küsimusele järgmiselt:

„Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruse (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) artikli 15 lõike 1 punkti c tuleb tõlgendada nii, et selle sättega andmesubjektile ette nähtud õigus andmetega tutvuda peab tingimata hõlmama teavet tema isikuandmete konkreetsete vastuvõtjate kohta, kui ta seda taotleb. Seda andmetega tutvumise õigust võib piirata nii, et see hõlmaks ainult vastuvõtjate kategooriaid, kui on sisuliselt võimatu kindlaks teha, kes on andmesubjekti kohta käivate isikuandmete konkreetsed vastuvõtjad, või kui vastutav töötleja tõendab, et andmesubjekti taotlused on määruse (EL) 2016/679 artikli 12 lõike 5 tähenduses selgelt põhjendamatud või ülemäärased.“