EUR-Lex Access to European Union law
This document is an excerpt from the EUR-Lex website
Document 62021CJ0683
Judgment of the Court (Grand Chamber) of 5 December 2023.#Nacionalinis visuomenės sveikatos centras prie Sveikatos apsaugos ministerijos v Valstybinė duomenų apsaugos inspekcija.#Request for a preliminary ruling from the Vilniaus apygardos administracinis teismas.#Reference for a preliminary ruling – Protection of personal data – Regulation (EU) 2016/679 – Article 4(2) and (7) – Concepts of ‘processing’ and ‘controller’ – Development of a mobile IT application – Article 26 – Joint control – Article 83 – Imposition of administrative fines – Conditions – Requirement that the infringement be intentional or negligent – Responsibility and liability of the controller for the processing of personal data carried out by a processor.#Case C-683/21.
Euroopa Kohtu otsus (suurkoda), 5.12.2023.
Nacionalinis visuomenės sveikatos centras prie Sveikatos apsaugos ministerijos versus Valstybinė duomenų apsaugos inspekcija.
Eelotsusetaotlus, mille on esitanud Vilniaus apygardos administracinis teismas.
Eelotsusetaotlus – Isikuandmete kaitse – Määrus (EL) 2016/679 – Artikli 4 punktid 2 ja 7 – Mõisted „töötlemine“ ja „vastutav töötleja“ – Mobiilirakenduse arendamine – Artikkel 26 – Kaasvastutus töötlemise eest – Artikkel 83 – Trahvide määramine – Tingimused – Nõue, et rikkumine peab olema toime pandud tahtlikult või hooletusest – Vastutava töötleja vastutus volitatud töötleja poolse isikuandmete töötlemise eest.
Kohtuasi C-683/21.
Euroopa Kohtu otsus (suurkoda), 5.12.2023.
Nacionalinis visuomenės sveikatos centras prie Sveikatos apsaugos ministerijos versus Valstybinė duomenų apsaugos inspekcija.
Eelotsusetaotlus, mille on esitanud Vilniaus apygardos administracinis teismas.
Eelotsusetaotlus – Isikuandmete kaitse – Määrus (EL) 2016/679 – Artikli 4 punktid 2 ja 7 – Mõisted „töötlemine“ ja „vastutav töötleja“ – Mobiilirakenduse arendamine – Artikkel 26 – Kaasvastutus töötlemise eest – Artikkel 83 – Trahvide määramine – Tingimused – Nõue, et rikkumine peab olema toime pandud tahtlikult või hooletusest – Vastutava töötleja vastutus volitatud töötleja poolse isikuandmete töötlemise eest.
Kohtuasi C-683/21.
Court reports – general
ECLI identifier: ECLI:EU:C:2023:949
EUROOPA KOHTU OTSUS (suurkoda)
5. detsember 2023 ( *1 )
Eelotsusetaotlus – Isikuandmete kaitse – Määrus (EL) 2016/679 – Artikli 4 punktid 2 ja 7 – Mõisted „töötlemine“ ja „vastutav töötleja“ – Mobiilirakenduse arendamine – Artikkel 26 – Kaasvastutus töötlemise eest – Artikkel 83 – Trahvide määramine – Tingimused – Nõue, et rikkumine peab olema toime pandud tahtlikult või hooletusest – Vastutava töötleja vastutus volitatud töötleja poolse isikuandmete töötlemise eest
Kohtuasjas C‑683/21,
mille ese on ELTL artikli 267 alusel Vilniaus apygardos administracinis teismase (Vilniuse regionaalne halduskohus, Leedu) 22. oktoobri 2021. aasta otsusega esitatud eelotsusetaotlus, mis saabus Euroopa Kohtusse 12. novembril 2021, menetluses
Nacionalinis visuomenės sveikatos centras prie Sveikatos apsaugos ministerijos
versus
Valstybinė duomenų apsaugos inspekcija,
menetluses osalesid:
UAB „IT sprendimai sėkmei“,
Lietuvos Respublikos sveikatos apsaugos ministerija,
EUROOPA KOHUS (suurkoda),
koosseisus: president K. Lenaerts, asepresident L. Bay Larsen, kodade presidendid A. Arabadjiev, C. Lycourgos, E. Regan, T. von Danwitz, Z. Csehi ja O. Spineanu-Matei, kohtunikud M. Ilešič, J.‑C. Bonichot, L. S. Rossi, A. Kumin, N. Jääskinen (ettekandja), N. Wahl ja M. Gavalec,
kohtujurist: N. Emiliou,
kohtusekretär: ametnik C. Strömholm,
arvestades kirjalikku menetlust ja 17. jaanuari 2023. aasta kohtuistungil esitatut,
arvestades seisukohti, mille esitasid:
– |
Nacionalinis visuomenės sveikatos centras prie Sveikatos apsaugos ministerijos, esindaja: G. Aleksienė, |
– |
Valstybinė duomenų apsaugos inspekcija, esindaja: R. Andrijauskas, |
– |
Leedu valitsus, esindaja: V. Kazlauskaitė-Švenčionienė, |
– |
Madalmaade valitsus, esindaja: C. S. Schillemans, |
– |
Euroopa Liidu Nõukogu, esindajad: R. Liudvinavičiūtė ja K. Pleśniak, |
– |
Euroopa Komisjon, esindajad: A. Bouchagiar, H. Kranenborg ja A. Steiblytė, |
olles 4. mai 2023. aasta kohtuistungil ära kuulanud kohtujuristi ettepaneku,
on teinud järgmise
otsuse
1 |
Eelotsusetaotlus käsitleb Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruse (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT 2016, L 119, lk 1; edaspidi „isikuandmete kaitse üldmäärus“) artikli 4 punktide 2 ja 7, artikli 26 lõike 1 ning artikli 83 lõike 1 tõlgendamist. |
2 |
Taotlus on esitatud Nacionalinis visuomenės sveikatos centras prie Sveikatos apsaugos ministerijose (tervishoiuministeeriumi haldusalas olev terviseamet, Leedu; edaspidi „terviseamet“) ja Valstybinė duomenų apsaugos inspekcija (andmekaitseinspektsioon, Leedu; edaspidi „inspektsioon“) vahelises kohtuvaidluses otsuse üle, millega inspektsioon määras terviseametile isikuandmete kaitse üldmääruse artikli 83 alusel trahvi selle määruse artiklite 5, 13, 24, 32 ja 35 rikkumise eest. |
Õiguslik raamistik
Liidu õigus
3 |
Isikuandmete kaitse üldmääruse põhjendustes 9, 10, 11, 13, 26, 74, 79, 129 ja 148 on märgitud:
[…]
[…]
[…]
[…]
[…]
[…]
|
4 |
Selle määruse artikli 4 kohaselt: „Käesolevas määruses kasutatakse järgmisi mõisteid:
[…]
[…]
[…]“. |
5 |
Nimetatud määruse artikli 26 „Kaasvastutavad töötlejad“ lõikes 1 on sätestatud: „Kui kaks või enam vastutavat töötlejat määravad ühiselt kindlaks isikuandmete töötlemise eesmärgid ja vahendid, on nad kaasvastutavad töötlejad. Nad määravad kaasvastutava töötleja vastutusvaldkonna käesoleva määruse kohaste kohustuste täitmisel – eelkõige mis puudutab andmesubjekti õiguste kasutamist ja kaasvastutava töötleja kohustust esitada artiklites 13 ja 14 osutatud teavet – läbipaistval viisil kindlaks omavahelise kokkuleppega, välja arvatud juhul ja sel määral mil vastutavate töötlejate vastavad vastutusvaldkonnad on kindlaks määratud vastutavate töötlejate suhtes kohaldatava liidu või liikmesriigi õigusega. Sellise kokkuleppe osana võib määrata andmesubjektide jaoks kontaktpunkti.“ |
6 |
Sama määruse artikli 28 „Volitatud töötleja“ lõikes 10 on ette nähtud: „Kui volitatud töötleja määrab käesolevat määrust rikkudes andmete töötlemise eesmärgid ja vahendid, siis loetakse volitatud töötleja selle töötlemise suhtes vastutavaks töötlejaks, ilma et see piiraks artiklite 82, 83 ja 84 kohaldamist.“ |
7 |
Isikuandmete kaitse üldmääruse artikli 58 „Volitused“ lõikes 2 on sätestatud: „Järelevalveasutusel on järgmised parandusvolitused:
[…]
[…]
[…]
[…]“. |
8 |
Määruse artikkel 83 „Trahvide määramise üldtingimused“ on sõnastatud järgmiselt: „1. Järelevalveasutus tagab, et käesoleva artikli kohane trahvide määramine lõigete 4, 5 ja 6 kohaste käesoleva määruse rikkumiste eest on igal üksikul juhul tõhus, proportsionaalne ja heidutav. 2. Trahve kohaldatakse üksiku juhtumi asjaoludest sõltuvalt kas lisaks artikli 58 lõike 2 punktides a–h ja j osutatud meetmetele või nende asemel. Otsustades igal konkreetsel juhul trahvi määramise ja selle suuruse üle, pööratakse asjakohast tähelepanu järgmisele:
3. Kui vastutav töötleja või volitatud töötleja rikub samade või seonduvate isikuandmete töötlemise toimingute puhul tahtlikult või hooletusest mitut käesoleva määruse sätet, ei ületa trahvi kogusumma summat, mis on sätestatud seoses raskeima rikkumisega. 4. Kooskõlas lõikega 2 võib järgmiste sätete rikkumise eest määrata trahvi, mille suurus on kuni 10000000 eurot või ettevõtja puhul kuni 2% tema eelneva majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem: a) vastutava töötleja või volitatud töötleja kohustused artiklite 8, 11, 25–39, 42 ja 43 alusel; […] 5. Kooskõlas lõikega 2 võib järgmiste sätete rikkumise eest määrata trahvi, mille suurus on kuni 20000000 eurot või ettevõtja puhul kuni 4% tema eelneva majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem:
[…]
[…] 6. Artikli 58 lõikes 2 osutatud järelevalveasutuse korralduse täitmatajätmise korral määratakse kooskõlas käesoleva artikli lõikega 2 trahv, mille suurus on kuni 20000000 eurot või ettevõtja puhul kuni 4% tema eelneva majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem. 7. Ilma et see piiraks järelevalveasutuse parandusvolitusi artikli 58 lõike 2 alusel, võib liikmesriik näha ette eeskirju selle kohta, kas ja millisel määral võib trahve määrata selles liikmesriigis asutatud avaliku sektori asutustele ja organitele. 8. Käesoleva artikli kohaste volituste kasutamise suhtes järelevalveasutuse poolt kohaldatakse kooskõlas liidu ja liikmesriigi õigusega asjakohaseid menetluslikke kaitsemeetmeid, sealhulgas tõhusat õiguskaitsevahendit ja nõuetekohast menetlust. […]“. |
9 |
Nimetatud määruse artikli 84 „Karistused“ lõikes 1 on sätestatud: „Liikmesriigid kehtestavad käesoleva määruse rikkumiste korral kohaldatavad karistusnormid, eelkõige seoses selliste rikkumistega, mille korral ei määrata artikli 83 kohaseid trahve, ning võtavad kõik vajalikud meetmed, et tagada kõnealuste normide rakendamine. Sellised karistused on tõhusad, proportsionaalsed ja heidutavad.“ |
Leedu õigus
10 |
Riigihangete seaduse (Viešųjų pirkimų įstatymas) artikli 29 lõikes 3 on nimetatud teatud asjaolud, mille esinemisel on hankijal kas õigus või kohustus tühistada tema algatatud riigihankemenetlus või konkurss igal ajal enne riigihankelepingu (või eellepingu) sõlmimist või konkursi võitja määramist. |
11 |
Riigihangete seaduse artikli 72 lõige 2 näeb ette etapid läbirääkimiste puhul, mida hankija viib läbi väljakuulutamiseta läbirääkimistega hankemenetluses. |
Põhikohtuasi ja eelotsuse küsimused
12 |
Lietuvos Respublikos sveikatos apsaugos ministras (Leedu Vabariigi tervishoiuminister) tegi COVID-19 põhjustava viiruse pandeemia kontekstis 24. märtsil 2020 esimese otsusega terviseameti direktorile ülesandeks korraldada viivitamata IT-süsteemi omandamine selle viirusega kokku puutunud isikute andmete registreerimiseks ja jälgimiseks epidemioloogilise seire eesmärgil. |
13 |
Isik, kes tutvustas ennast terviseameti esindajana (edaspidi „A.S.“), teavitas 27. märtsil 2020 äriühingut UAB „IT sprendimai sėkmei“ (edaspidi „äriühing ITSS“), et terviseameti on valinud nimetatud äriühingu sellel eesmärgil loodava mobiilirakenduse arendajaks. A.S. saatis seejärel äriühingule ITSS e‑kirju mobiilirakenduse arendamise eri aspektide kohta ning nende kirjade koopiad saadeti ka terviseameti direktorile. |
14 |
Lisaks A.S-ile saatsid äriühingu ITSS ja terviseameti vaheliste läbirääkimiste käigus ka terviseameti VSC teised töötajad sellele äriühingule e‑kirju, mis puudutasid kõnealuses mobiilirakenduses esitatavate küsimuste koostamist. |
15 |
Mobiilirakenduse loomisel töötati välja eraelu puutumatuse kaitse põhimõtted, milles määrati vastutavateks töötlejateks äriühing ITSS ja terviseamet. |
16 |
Kõnealune mobiilirakendus, milles oli mainitud äriühingut ITSS ja terviseametit, oli allalaaditav alates 4. aprillist 2020 veebipoes Google Play Store ja alates 6. aprillist 2020 veebipoes Apple App Store. Rakendus toimis kuni 26. maini 2020. |
17 |
Ajavahemikul 4. aprillist 2020 kuni 26. maini 2020 kasutas seda rakendust 3802 inimest ja nad esitasid enda kohta andmed, mida rakenduses nõuti, nagu identifitseerimisnumber, geograafilised koordinaadid (laius- ja pikkuskraad), riik, linn, omavalitsusüksus, sihtnumber, tänavanimi, majanumber, perekonnanimi, eesnimi, isikukood, telefoninumber ja aadress. |
18 |
Leedu Vabariigi tervishoiuminister otsustas 10. aprillil 2020 teise otsusega anda terviseameti direktorile ülesande korraldada kõnealuse mobiilirakenduse omandamine äriühingult ITSS ning selleks kavatseti kohaldada riigihangete seaduse artikli 72 lõiget 2. Sellegipoolest ei sõlmitud nimetatud äriühinguga riigihankelepingut kõnealuse rakenduse ametlikuks omandamiseks terviseameti poolt. |
19 |
Nimelt nõudis terviseamet 15. mail 2020, et see äriühing teda kõnealuses mobiilirakenduses mitte mingil viisil ei mainiks. Lisaks andis terviseamet 4. juuni 2020. aasta kirjaga sellele äriühingule teada, et kuna rakenduse omandamiseks rahastust ei saadud, on ta vastavalt riigihangete seaduse artikli 29 lõikele 3 lõpetanud rakenduse omandamise menetluse. |
20 |
Inspektsioon tegi 18. mail 2020 algatatud uurimises isikuandmete töötlemise kohta kindlaks, et kõnealuse mobiilirakenduse abil oli kogutud isikuandmeid. Lisaks tuvastas ta, et kasutajad, kes olid valinud selle rakenduse COVID-19 pandeemia tõttu kohustuslikuks muudetud isolatsioonis viibimise jälgimise meetodina, vastasid küsimustele, millega kaasnes isikuandmete töötlemine. Need andmed sisestati nimetatud rakenduse abil esitatud küsimustele antud vastustes ning need puudutasid eelkõige andmesubjekti terviseseisundit ja isolatsiooninõuete järgimist tema poolt. |
21 |
Inspektsioon määras 24. veebruari 2021. aasta otsusega terviseametile isikuandmete kaitse üldmääruse artikli 83 alusel 12000 euro suuruse trahvi, leides, et terviseamet oli rikkunud selle määruse artikleid 5, 13, 24, 32 ja 35. Selle otsusega määrati ka äriühingule ITSS kui kaasvastutavale töötlejale 3000 euro suurune trahv. |
22 |
Terviseamet vaidlustas selle otsuse Vilniaus apygardos administracinis teismases (Vilniuse regionaalne halduskohus, Leedu), kes on eelotsusetaotluse esitanud kohus, väites, et vastutavaks töötlejaks isikuandmete kaitse üldmääruse artikli 4 punkti 7 tähenduses tuleb pidada ainult äriühingut ITSS. Äriühing ITSS väidab omalt poolt, et ta tegutses volitatud töötlejana isikuandmete kaitse üldmääruse artikli 4 punkti 8 tähenduses terviseameti korraldusel, kes tema sõnul on ainus vastutav töötleja. |
23 |
Eelotsusetaotluse esitanud kohus märgib, et kõnealuse mobiilirakenduse lõi äriühing ITSS ja terviseamet andis talle nõu selles rakenduses esitatud küsimuste sisu osas. Samas ei olnud terviseameti ja äriühingu ITSS vahel sõlmitud riigihankelepingut. Ühtlasi ei andnud terviseamet nõusolekut ega luba selle rakenduse kättesaadavaks tegemiseks erinevates veebipoodides. |
24 |
See kohus täpsustab, et kõnealuse mobiilirakenduse loomise eesmärk oli terviseameti seatud eesmärgi ohjata COVID-19 pandeemiat saavutamine IT-vahendi loomise teel ning selleks oli plaanis töödelda isikuandmeid. Mis puudutab äriühingu ITSS rolli, siis ei olnud kavandatud, et see äriühing taotleks muid eesmärke kui loodud IT‑toote eest tasu saamine. |
25 |
Nimetatud kohus märgib veel, et inspektsiooni uurimise käigus tuvastati, et Leedu äriühing Juvare Lithuania, kes haldab levimisohtlike nakkushaiguste seire ja kontrolli IT‑süsteemi, pidi saama kõnealuse mobiilirakenduse abil kogutud isikuandmete koopiad. Rakenduse testimiseks kasutati fiktiivseid andmeid, välja arvatud nimetatud äriühingu töötajate telefoninumbrid. |
26 |
Neil asjaoludel otsustas Vilniaus apygardos administracinis teismas (Vilniuse regionaalne halduskohus) menetluse peatada ja esitada Euroopa Kohtule järgmised eelotsuse küsimused:
|
Eelotsuse küsimuste analüüs
Esimene, teine ja kolmas küsimus
27 |
Esimese, teise ja kolmanda küsimusega, mida tuleb analüüsida koos, palub eelotsusetaotluse esitanud kohus sisuliselt selgitada, kas isikuandmete kaitse üldmääruse artikli 4 punkti 7 tuleb tõlgendada nii, et üksust, kes on teinud ettevõtjale ülesandeks arendada mobiilirakendust, võib pidada vastutavaks töötlejaks selle sätte tähenduses, kui see üksus ise ei ole teinud isikuandmete töötlemise toiminguid, ei ole andnud sõnaselget nõusolekut konkreetsete töötlemistoimingute tegemiseks või selle mobiilirakenduse üldsusele kättesaadavaks tegemiseks ega ole seda mobiilirakendust omandanud. |
28 |
Isikuandmete kaitse üldmääruse artikli 4 punktis 7 on mõiste „vastutav töötleja“ määratletud laialt kui füüsiline või juriidiline isik, avaliku sektori asutus, amet või muu organ, kes üksi või koos teistega „määrab kindlaks isikuandmete töötlemise eesmärgid ja vahendid“. |
29 |
Selle laia määratluse eesmärk on kooskõlas isikuandmete kaitse üldmääruse eesmärgiga tagada füüsiliste isikute põhiõiguste ja -vabaduste tõhus kaitse, sealhulgas iga isiku õiguse tema isikuandmete kaitsele kõrgetasemeline kaitse (vt selle kohta 29. juuli 2019. aasta kohtuotsus Fashion ID, C‑40/17, EU:C:2019:629, punkt 66, ja 28. aprilli 2022. aasta kohtuotsus Meta Platforms Ireland, C‑319/20, EU:C:2022:322, punkt 73 ning seal viidatud kohtupraktika). |
30 |
Euroopa Kohus on juba otsustanud, et iga füüsilist või juriidilist isikut, kes enda huvides mõjutab selliste andmete töötlemist ja osaleb seetõttu töötlemise eesmärkide ja vahendite kindlaksmääramisel, võib pidada selle töötlemise eest vastutavaks. Seejuures ei ole nõutav, et vastutav töötleja määraks töötlemise eesmärgid ja vahendid kindlaks kirjalikes juhistes või korraldustes (vt selle kohta 10. juuli 2018. aasta kohtuotsus Jehovan todistajat, C‑25/17, EU:C:2018:551, punktid 67 ja 68) või et ta oleks vormiliselt määratud vastutavaks töötlejaks. |
31 |
Seega tuleb selleks, et teha kindlaks, kas niisugust üksust nagu terviseamet saab pidada vastutavaks töötlejaks isikuandmete kaitse üldmääruse artikli 4 punkti 7 tähenduses, analüüsida, kas see üksus tõepoolest mõjutas enda huvides selle töötlemise eesmärkide ja vahendite kindlaksmääramist. |
32 |
Käesoleval juhul nähtub Euroopa Kohtu käsutuses olevast toimikust – kui eelotsusetaotluse esitanud kohtu kontrolli tulemusel ei ilmne vastupidist –, et kõnealuse mobiilirakenduse loomise tellis terviseamet ning sellega sooviti terviseameti seatud eesmärk ohjata COVID-19 pandeemiat saavutada IT‑vahendi abil, registreerides ja jälgides nende isikute andmeid, kes olid kokku puutunud COVID-19 põhjustava viirusega. Terviseamet oli selleks ette näinud kõnealuse mobiilirakenduse kasutajate isikuandmete töötlemise. Lisaks nähtub eelotsusetaotlusest, et selle rakenduse parameetrid, nagu esitatavad küsimused ja nende sõnastus, kohandati terviseameti vajadustele ning et terviseamet mängis nende kindlaksmääramisel aktiivset rolli. |
33 |
Neil asjaoludel tuleb põhimõtteliselt asuda seisukohale, et terviseamet osales tõepoolest isikuandmete töötlemise eesmärkide ja vahendite kindlaksmääramisel. |
34 |
Seevastu pelka asjaolu, et terviseametit mainiti vastutava töötlejana kõnealuse mobiilirakenduse eraelu puutumatuse kaitse põhimõtetes ja et rakenduses olid lingid sellele üksusele, võib pidada asjakohaseks üksnes juhul, kui on tõendatud, et terviseamet oli andnud sõnaselge või kaudse nõusoleku selle mainimise või linkide kohta. |
35 |
Lisaks ei välista asjaolud, mida eelotsusetaotluse esitanud kohus oma kolme esimese eelotsuse küsimuse põhjendamiseks esitatud kaalutlustes mainib, nimelt et terviseamet ise ei töödelnud isikuandmeid, et terviseameti ja äriühingu ITSS vahel ei olnud lepingut, et terviseamet ei omandanud kõnealust mobiilirakendust ja et terviseamet ei andnud luba selle rakenduse levitamiseks veebipoodide kaudu, võimalust, et terviseametit võiks pidada „vastutavaks töötlejaks“ isikuandmete kaitse üldmääruse artikli 4 punkti 7 tähenduses. |
36 |
Sellest sättest koostoimes isikuandmete kaitse üldmääruse põhjendusega 74 ilmneb nimelt, et kui üksus vastab nimetatud artikli 4 punktis 7 sätestatud tingimusele, ei vastuta ta mitte ainult isikuandmete töötlemise eest, mida ta teeb ise, vaid ka töötlemise eest, mis toimub tema nimel. |
37 |
Sellega seoses tuleb siiski täpsustada, et terviseametit ei tohiks pidada kõnealuse mobiilirakenduse üldsusele kättesaadavaks tegemisest tuleneva isikuandmete töötlemise vastutavaks töötlejaks, kui ta on enne niisugust kättesaadavaks tegemist sellele sõnaselgelt vastu olnud – seda peab kontrollima eelotsusetaotluse esitanud kohus. Sellisel juhul ei saa nimelt asuda seisukohale, et kõnealune töötlemine toimus terviseameti nimel. |
38 |
Eeltoodud põhjendusi arvestades tuleb esimesele, teisele ja kolmandale küsimusele vastata, et isikuandmete kaitse üldmääruse artikli 4 punkti 7 tuleb tõlgendada nii, et vastutavaks töötlejaks nimetatud sätte tähenduses võib pidada üksust, kes on teinud ettevõtjale ülesandeks arendada mobiilirakendust ja kes on selles kontekstis osalenud selle rakenduse abil toimuva isikuandmete töötlemise eesmärkide ja vahendite kindlaksmääramisel, isegi kui see üksus ise ei ole teinud isikuandmete töötlemise toiminguid, ei ole andnud sõnaselget nõusolekut konkreetsete töötlemistoimingute tegemiseks või selle mobiilirakenduse üldsusele kättesaadavaks tegemiseks ega ole seda mobiilirakendust omandanud, välja arvatud juhul, kui see üksus oli enne nimetatud kättesaadavaks tegemist sõnaselgelt selle kättesaadavaks tegemise ja sellest tulenenud isikuandmete töötlemise vastu. |
Viies küsimus
39 |
Viienda küsimusega, mida tuleb analüüsida teisena, palub eelotsusetaotluse esitanud kohus sisuliselt selgitada, kas isikuandmete kaitse üldmääruse artikli 4 punkti 7 ja artikli 26 lõiget 1 tuleb tõlgendada nii, et kahe üksuse kvalifitseerimine kaasvastutavateks töötlejateks eeldab nende üksuste vahelist kokkulepet kõnealuse isikuandmete töötlemise eesmärkide ja vahendite kindlaksmääramise kohta või kokkulepet, milles on kindlaks määratud töötlemise kaasvastutuse tingimused. |
40 |
Isikuandmete kaitse üldmääruse artikli 26 lõikes 1 on sätestatud, et „kaasvastutavate töötlejatega“ on tegemist siis, kui kaks või enam vastutavat töötlejat määravad ühiselt kindlaks isikuandmete töötlemise eesmärgid ja vahendid. |
41 |
Nagu Euroopa Kohus on otsustanud, peab füüsiline või juriidiline isik selleks, et teda saaks pidada kaasvastutavaks töötlejaks, seega iseseisvalt vastama isikuandmete kaitse üldmääruse artikli 4 punktis 7 esitatud „vastutava töötleja“ määratlusele (vt selle kohta 29. juuli 2019. aasta kohtuotsus Fashion ID, C‑40/17, EU:C:2019:629, punkt 74). |
42 |
Siiski ei tähenda kaasvastutuse olemasolu tingimata erinevate isikuandmete töötlemisega seotud osapoolte võrdset vastutust. Vastupidi, need pooled võivad olla töötlemisse kaasatud eri etappides ja erineval määral, mistõttu tuleb neist igaühe vastutust hinnata juhtumi kõiki tähtsust omavaid asjaolusid arvesse võttes (5. juuni 2018. aasta kohtuotsus Wirtschaftsakademie Schleswig-Holstein, C‑210/16, EU:C:2018:388, punkt 43). Lisaks ei nõua mitme osaleja kaasvastutus sama töötlemise eest, et igaühel neist oleks juurdepääs asjasse puutuvatele isikuandmetele (10. juuli 2018. aasta kohtuotsus Jehovan todistajat, C‑25/17, EU:C:2018:551, punkt 69 ja seal viidatud kohtupraktika). |
43 |
Nagu kohtujurist oma ettepaneku punktis 38 märkis, võib osalemine isikuandmete töötlemise eesmärkide ja vahendite kindlaksmääramises toimuda eri vormides, kusjuures selline osalemine võib tuleneda nii kahe või enama üksuse ühisest otsusest kui ka selliste üksuste kokkulangevatest otsustest. Viimasel juhul peavad need otsused aga üksteist täiendama nii, et igal otsusel oleks konkreetne mõju töötlemise eesmärkide ja vahendite kindlaksmääramisele. |
44 |
Seevastu saa nõuda, et nende vastutavate töötlejate vahel oleks ametlik kokkulepe töötlemise eesmärkide ja vahendite kohta. |
45 |
On tõsi, et isikuandmete kaitse üldmääruse artikli 26 lõike 1 kohaselt, arvestades selle määruse põhjendust 79, peavad kaasvastutavad töötlejad läbipaistval viisil omavahelise kokkuleppega kindlaks määrama iga kaasvastutava töötleja vastutusvaldkonna, et tagada selle määruse nõuete täitmine. Sellise kokkuleppe olemasolu ei ole siiski eeltingimus selleks, et kahte või enamat üksust saaks kvalifitseerida kaasvastutavateks töötlejateks, vaid kohustus, mille artikli 26 lõige 1 paneb kaasvastutavatele töötlejatele, kui nad on nõnda kvalifitseeritud, et tagada neile isikuandmete kaitse üldmäärusega pandud nõuete täitmine. Seega tuleneb see kvalifikatsioon ainuüksi asjaolust, et mitu üksust on osalenud isikuandmete töötlemise eesmärkide ja vahendite kindlaksmääramisel. |
46 |
Eeltoodud põhjendusi arvestades tuleb viiendale küsimusele vastata, et isikuandmete kaitse üldmääruse artikli 4 punkti 7 ja artikli 26 lõiget 1 tuleb tõlgendada nii, et kahe üksuse kvalifitseerimine kaasvastutavateks töötlejateks ei eelda nende üksuste vahelist kokkulepet kõnealuse isikuandmete töötlemise eesmärkide ja vahendite kindlaksmääramise kohta ega kokkulepet, milles on kindlaks määratud töötlemise kaasvastutuse tingimused. |
Neljas küsimus
47 |
Neljanda küsimusega palub eelotsusetaotluse esitanud kohus sisuliselt selgitada, kas isikuandmete kaitse üldmääruse artikli 4 punkti 2 tuleb tõlgendada nii, et isikuandmete kasutamine mobiilirakenduse infotehnoloogiliseks katsetamiseks on „töötlemine“ selle sätte tähenduses. |
48 |
Nagu nähtub siinse kohtuotsuse punktist 25, pidi Leedu äriühing, kes haldab levimisohtlike nakkushaiguste seire ja kontrolli IT‑süsteemi, käesoleval juhul saama kõnealuse mobiilirakenduse abil kogutud isikuandmete koopiad. Infotehnoloogiliste katsete jaoks kasutati fiktiivseid andmeid, välja arvatud nimetatud äriühingu töötajate telefoninumbrid. |
49 |
Selle kohta tuleb esiteks märkida, et isikuandmete kaitse üldmääruse artikli 4 punktis 2 on mõiste „isikuandmete töötlemine“ määratletud kui „isikuandmete või nende kogumitega tehtav „[mis tahes] automatiseeritud või automatiseerimata toiming või toimingute kogum“. Mitteammendavas loetelus, mis algab väljendiga „nagu“, on selles sättes töötlemise näidetena nimetatud isikuandmete kogumist, kättesaadavaks tegemist ja kasutamist. |
50 |
Selle sätte sõnastusest, eelkõige väljendist „[mis tahes] toiming“, nähtub, et liidu seadusandja on soovinud anda mõistele „töötlemine“ laia ulatuse (vt selle kohta 24. veebruari 2022. aasta kohtuotsus Valsts ieņēmumu dienests (isikuandmete töötlemine maksustamise eesmärgil),C‑175/20, EU:C:2022:124, punkt 35) ning et selle kindlakstegemisel, kas toiming või toimingute kogum kujutab endast „isikuandmete töötlemist“ isikuandmete kaitse üldmääruse artikli 4 punkti 2 tähenduses, ei saa arvesse võtta toimingu või toimingute kogumi tegemise põhjuseid. |
51 |
Seega ei mõjuta see, kas isikuandmeid kasutatakse infotehnoloogiliseks katsetamiseks või muul eesmärgil, kõnealuse toimingu kvalifitseerimist „isikuandmete töötlemiseks“ isikuandmete kaitse üldmääruse artikli 4 punkti 2 tähenduses. |
52 |
Teiseks tuleb siiski täpsustada, et „isikuandmete töötlemine“ isikuandmete kaitse üldmääruse artikli 4 punkti 2 tähenduses on ainult töötlemine, mis puudutab „isikuandmeid“. |
53 |
Isikuandmete kaitse üldmääruse artikli 4 punktis 1 on selle kohta täpsustatud, et „isikuandmed“ on „igasugune teave tuvastatud või tuvastatava füüsilise isiku […] kohta“, st et „tuvastatav füüsiline isik on isik, keda saab otseselt või kaudselt tuvastada, eelkõige sellise identifitseerimistunnuse põhjal nagu nimi, isikukood, asukohateave, võrguidentifikaator või selle füüsilise isiku ühe või mitme füüsilise, füsioloogilise, geneetilise, vaimse, majandusliku, kultuurilise või sotsiaalse tunnuse põhjal“. |
54 |
Eelotsusetaotluse esitanud kohtu neljandas küsimuses viidatud asjaolu, et tegemist on „isikuandmete koopiatega“, ei saa aga iseenesest välistada nende koopiate kvalifitseerimist isikuandmeteks isikuandmete kaitse üldmääruse artikli 4 punkti 1 tähenduses, tingimusel et need koopiad sisaldavad tõepoolest teavet tuvastatud või tuvastatava füüsilise isiku kohta. |
55 |
Tuleb siiski tõdeda, et fiktiivsed andmed ei kujuta endast isikuandmeid isikuandmete kaitse üldmääruse artikli 4 punkti 1 tähenduses, kuna need ei puuduta tuvastatud või tuvastatavat füüsilist isikut, vaid isikut, keda ei ole tegelikult olemas. |
56 |
Sama kehtib infotehnoloogiliseks katsetamiseks kasutatavate andmete kohta, mis on anonüümsed või anonüümseks muudetud. |
57 |
Isikuandmete kaitse üldmääruse põhjendusest 26 ja selle määruse artikli 4 punktis 1 esitatud mõiste „isikuandmed“ määratlusest endast tuleneb nimelt, et selle mõistega ei ole hõlmatud „[anonüümne teave], nimelt teave, mis ei ole seotud tuvastatud või tuvastatava füüsilise isikuga“, ega „[isikuandmed], mis on muudetud anonüümseks sellisel viisil, et andmesubjekti ei ole võimalik tuvastada või ei ole enam võimalik tuvastada“. |
58 |
Seevastu tuleneb isikuandmete kaitse üldmääruse artikli 4 punktist 5 koostoimes selle määruse põhjendusega 26, et isikuandmeid, mis on üksnes pseudonümiseeritud ja mida saab füüsilise isikuga seostada ainult täiendava teabe abil, tuleb käsitada tuvastatava füüsilise isiku kohta käiva teabena, mille suhtes kohaldatakse andmekaitse põhimõtteid. |
59 |
Eeltoodud põhjendusi arvestades tuleb neljandale küsimusele vastata, et isikuandmete kaitse üldmääruse artikli 4 punkti 2 tuleb tõlgendada nii, et isikuandmete kasutamine mobiilirakenduse infotehnoloogiliseks katsetamiseks on „töötlemine“ selle sätte tähenduses, välja arvatud juhul, kui need andmed on muudetud anonüümseks selliselt, et isik, keda need andmed puudutavad, ei ole või ei ole enam tuvastatav, või kui tegemist on fiktiivsete andmetega, mis ei ole seotud olemasoleva füüsilise isikuga. |
Kuues küsimus
60 |
Kuuenda küsimusega palub eelotsusetaotluse esitanud kohus sisuliselt selgitada, kas isikuandmete kaitse üldmääruse artiklit 83 tuleb tõlgendada nii, et ühest küljest võib selle sätte alusel trahvi määrata ainult siis, kui on tõendatud, et vastutav töötleja pani tahtlikult või hooletusest toime selle artikli lõigetes 4–6 nimetatud rikkumise, ja et teisest küljest võib sellise trahvi määrata vastutavale töötlejale seoses töötlemistoimingutega, mida volitatud töötleja on teinud tema nimel. |
61 |
Mis esimesena puudutab küsimust, kas isikuandmete kaitse üldmääruse artikli 83 alusel võib trahvi määrata üksnes siis, kui on tõendatud, et vastutav töötleja või volitatud töötleja pani tahtlikult või hooletusest toime selle artikli lõigetes 4–6 nimetatud rikkumise, siis nähtub selle artikli lõikest 1, et need trahvid peavad olema tõhusad, proportsionaalsed ja heidutavad. Seevastu ei ole isikuandmete kaitse üldmääruse artiklis 83 sõnaselgelt täpsustatud, et niisuguse rikkumise eest võib sellise trahvi määrata üksnes siis, kui see on toime pandud tahtlikult või vähemalt hooletuse tõttu. |
62 |
Leedu valitsus ja Euroopa Liidu Nõukogu järeldavad sellest, et liidu seadusandja soovis jätta liikmesriikidele isikuandmete kaitse üldmääruse artikli 83 rakendamisel teatava kaalutlusruumi, võimaldades neil vajaduse korral ette näha võimaluse määrata selle sätte alusel trahve, ilma et oleks tõendatud, et isikuandmete kaitse üldmääruse rikkumine, mille eest see trahv määratakse, pandi toime tahtlikult või hooletusest. |
63 |
Isikuandmete kaitse üldmääruse artikli 83 sellise tõlgendusega ei saa nõustuda. |
64 |
Sellega seoses tuleb meenutada, et ELTL artikli 288 alusel on määruste sätetel liikmesriikide õiguskordades tavaliselt vahetu õigusmõju, ilma et liikmesriikide asutustel oleks vaja võtta rakendusmeetmeid. Sellele vaatamata võib teatavate määruse sätete rakendamiseks olla vajalik rakendusmeetmete võtmine liikmesriikide poolt (vt selle kohta 28. aprilli 2022. aasta kohtuotsus Meta Platforms Ireland, C‑319/20, EU:C:2022:322, punkt 58 ja seal viidatud kohtupraktika). |
65 |
Nii on see ka isikuandmete kaitse üldmääruse puhul, mille teatavad sätted annavad liikmesriikidele võimaluse näha ette täiendavaid, rangemaid või erandeid ettenägevaid riigisiseseid eeskirju, mis jätavad liikmesriikidele kaalutlusruumi nende sätete rakendamisel (28. aprilli 2022. aasta kohtuotsus Meta Platforms Ireland, C‑319/20, EU:C:2022:322, punkt 57). |
66 |
Samuti, kuna isikuandmete kaitse üldmääruses puuduvad konkreetsed menetlusnormid, siis tuleb iga liikmesriigi õiguskorras kehtestada menetlusnormid hagidele, mille eesmärk on tagada õigussubjektidele selle määrusega antud õiguste kaitse, tingimusel et järgitakse võrdväärsuse põhimõtet ja tõhususe põhimõtet (vt selle kohta 4. mai 2023. aasta kohtuotsus Österreichische Post (isikuandmete töötlemisega seotud mittevaraline kahju), C‑300/21, EU:C:2023:370, punktid 53 ja 54 ning seal viidatud kohtupraktika). |
67 |
Siiski ei võimalda miski isikuandmete kaitse üldmääruse artikli 83 lõigete 1–6 sõnastuses asuda seisukohale, et liidu seadusandja soovis jätta liikmesriikidele kaalutlusruumi sisuliste tingimuste osas, mida järelevalveasutus peab järgima, kui ta otsustab määrata vastutavale töötlejale trahvi selle artikli lõigetes 4–6 nimetatud rikkumise eest. |
68 |
On tõsi, et esiteks on isikuandmete kaitse üldmääruse artikli 83 lõikes 7 ette nähtud, et iga liikmesriik võib näha ette eeskirju selle kohta, kas ja millisel määral võib tema territooriumil asutatud avaliku sektori asutustele ja organitele määrata trahve. Teiseks tuleneb selle määruse artikli 83 lõikest 8 määruse põhjendust 129 arvestades, et selle artikliga antud volituste kasutamisel järelevalveasutuse poolt tuleb kooskõlas liidu ja liikmesriikide õigusega kohaldada asjakohaseid menetluslikke kaitsemeetmeid, sealhulgas tõhusat õiguskaitsevahendit ja nõuetekohast menetlust. |
69 |
Sellegipoolest ei tähenda asjaolu, et nimetatud määrus annab seega liikmesriikidele võimaluse kehtestada erandeid seoses nende territooriumil asuvate avaliku sektori asutuste ja organitega ning nõudeid seoses menetlusega, mida järelevalveasutused peavad järgima trahvi määramisel, mingil juhul seda, et liikmesriikidel oleks õigus lisaks sellistele eranditele ja menetlusnõuetele kehtestada ka sisulisi tingimusi, mis peavad olema täidetud vastutava töötleja vastutusele võtmiseks ning talle nimetatud artikli 83 alusel trahvi määramiseks. Lisaks kinnitab asjaolu, et liidu seadusandja on sõnaselgelt ette näinud niisuguse võimaluse, kuid mitte selliste sisuliste tingimuste sätestamise, et ta ei jätnud liikmesriikidele selles osas kaalutlusruumi. |
70 |
Seda järeldust kinnitavad ka isikuandmete kaitse üldmääruse artiklid 83 ja 84 koostoimes. Nimelt on selle määruse artikli 84 lõikes 1 märgitud, et liikmesriikidele jääb pädevus kehtestada selle määruse rikkumiste korral „kohaldatavad karistusnormid, eelkõige seoses selliste rikkumistega, mille korral ei määrata artikli 83 kohaseid trahve“. Seega tuleneb nende sätete sellisest koostoimes tõlgendamisest, et selle pädevuse alla ei kuulu niisuguste trahvide määramise sisuliste tingimuste kindlaksmääramine. Need tingimused kuuluvad seega üksnes liidu õigusesse. |
71 |
Kõnealuste tingimuste kohta tuleb märkida, et isikuandmete kaitse üldmääruse artikli 83 lõikes 2 on loetletud asjaolud, mida arvestades järelevalveasutus määrab vastutavale töötlejale trahvi. Nende asjaolude hulgas on selle sätte punktis b nimetatud asjaolu, „kas rikkumine pandi toime tahtlikult või hooletusest“. Ükski selles sättes loetletud asjaolu ei viita aga mis tahes võimalusele, et vastutava töötleja vastutus tekib ilma tema süülise käitumiseta. |
72 |
Lisaks on oluline tõlgendada isikuandmete kaitse üldmääruse artikli 83 lõiget 2 koostoimes sama artikli lõikega 3, mille eesmärk on näha ette selle määruse rikkumiste kumuleerumise tagajärjed ja milles on sätestatud, et „[k]ui vastutav töötleja või volitatud töötleja rikub samade või seonduvate isikuandmete töötlemise toimingute puhul tahtlikult või hooletusest mitut käesoleva määruse sätet, ei ületa trahvi kogusumma summat, mis on sätestatud seoses raskeima rikkumisega“. |
73 |
Seega tuleneb isikuandmete kaitse üldmääruse artikli 83 lõike 2 sõnastusest, et üksnes selle määruse sätete rikkumine, mille vastutav töötleja on toime pannud süüliselt, st tahtlikult või hooletusest, võib kaasa tuua talle trahvi määramise selle artikli alusel. |
74 |
Isikuandmete kaitse üldmääruse üldine ülesehitus ja eesmärk toetavad seda tõlgendust. |
75 |
Esiteks nägi liidu seadusandja ette sanktsioonide süsteemi, mis võimaldab järelevalveasutusel määrata iga juhtumi asjaolusid arvestades kõige sobivama sanktsiooni. |
76 |
Isikuandmete kaitse üldmääruse artikkel 58, milles on kindlaks määratud järelevalveasutuste volitused, näeb nimelt lõike 2 punktis i ette, et need asutused võivad määrata selle määruse artikli 83 alusel trahve „lisaks“ muudele artikli 58 lõikes 2 loetletud parandusmeetmetele, nagu hoiatused, noomitused või korraldused, „või nende asemel“. Samuti on selle määruse põhjenduses 148 muu hulgas märgitud, et järelevalveasutus võib väiksema õigusrikkumise puhul või kui tõenäoliselt määratav trahv kujutaks endast füüsilise isiku jaoks ebaproportsionaalset koormust, jätta trahvi määramata ja teha selle asemel noomituse. |
77 |
Teiseks nähtub eeskätt isikuandmete kaitse üldmääruse põhjendusest 10, et selle määruse sätete eesmärk on eelkõige tagada liidus füüsiliste isikute järjekindel ja kõrgetasemeline kaitse isikuandmete töötlemisel ning selleks tagada nende isikute põhiõiguste ja -vabaduste kaitse eeskirjade järjekindel ja ühtne kohaldamine nende andmete töötlemisel kogu liidus. Isikuandmete kaitse üldmääruse põhjendustes 11 ja 129 on selle määruse ühtlaseks kohaldamiseks lisaks rõhutatud vajadust tagada, et järelevalveasutustel oleks olemas vastavad volitused isikuandmete kaitse eeskirjade järgimise kontrollimisel ja tagamisel ning et neil oleks selle määruse rikkumise korral võimalik määrata vastavaid sanktsioone. |
78 |
Sellise sanktsioonide süsteemi olemasolu, mis võimaldab määrata isikuandmete kaitse üldmääruse artikli 83 alusel trahvi, kui juhtumi konkreetsed asjaolud seda õigustavad, ajendab vastutavaid töötlejaid ja volitatud töötlejaid seda määrust järgima. Trahvid aitavad oma heidutava mõjuga kaasa füüsiliste isikute paremale kaitsele isikuandmete töötlemisel ja neil on seega otsustav tähtsus nende isikute õiguste austamise kindlustamisel vastavalt selle määruse eesmärgile tagada selliste isikute kõrgetasemeline kaitse isikuandmete töötlemisel. |
79 |
Liidu seadusandja ei ole siiski pidanud kõrgetasemelise kaitse tagamisel vajalikuks näha ette trahvide määramist ka süü puudumise korral. Arvestades asjaolu, et isikuandmete kaitse üldmääruse eesmärk on saavutada samaväärne ja ühtlane kaitsetase ning et selleks tuleb seda määrust kohaldada kogu liidus järjekindlalt, oleks selle eesmärgiga vastuolus, kui liikmesriikidel oleks lubatud ette näha selline kord trahvi määramiseks määruse artikli 83 alusel. Selline valikuvabadus kahjustaks ka liidu ettevõtjate vahelist konkurentsi, see aga läheks vastuollu eesmärkidega, mida liidu seadusandja on väljendanud eelkõige määruse põhjendustes 9 ja 13. |
80 |
Järelikult tuleb tõdeda, et isikuandmete kaitse üldmääruse artikkel 83 ei võimalda määrata trahvi selle artikli lõigetes 4–6 nimetatud rikkumise eest, ilma et oleks tõendatud, et vastutav töötleja pani rikkumise toime tahtlikult või hooletusest, ning järelikult on süüline rikkumine sellise trahvi määramise tingimus. |
81 |
Siinkohal tuleb veel täpsustada seoses küsimusega, kas rikkumine pandi toime tahtlikult või hooletusest ja kas selle eest võib seetõttu määrata trahvi isikuandmete kaitse üldmääruse artikli 83 alusel, et vastutavale töötlejale võib määrata sanktsiooni isikuandmete kaitse üldmääruse kohaldamisalasse kuuluva tegevuse eest, kui sellele vastutavale töötlejale ei saanud olla teadmata, et tema tegevus kujutab endast rikkumist, olenemata sellest, kas ta oli teadlik, et ta rikub isikuandmete kaitse üldmääruse sätteid (vt analoogia alusel 18. juuni 2013. aasta kohtuotsus Schenker & Co jt, C‑681/11, EU:C:2013:404, punkt 37 ning seal viidatud kohtupraktika; 25. märtsi 2021. aasta kohtuotsus Lundbeck vs. komisjon, C‑591/16 P, EU:C:2021:243, punkt 156, ning 25. märtsi 2021. aasta kohtuotsus Arrow Group ja Arrow Generics vs. komisjon, C‑601/16 P, EU:C:2021:244, punkt 97). |
82 |
Kui vastutav töötleja on juriidiline isik, tuleb veel täpsustada, et isikuandmete kaitse üldmääruse artikli 83 kohaldamine ei eelda kõnealuse juriidilise isiku juhtorgani tegevust ega isegi teadmist (vt analoogia alusel 7. juuni 1983. aasta kohtuotsus Musique diffusion française jt vs. komisjon, 100/80–103/80, EU:C:1983:158, punkt 97, ning 16. veebruari 2017. aasta kohtuotsus Tudapetrol Mineralölerzeugnisse Nils Hansen vs. komisjon, C‑94/15 P, EU:C:2017:124, punkt 28 ja seal viidatud kohtupraktika). |
83 |
Mis teisena puudutab küsimust, kas vastutavale töötlejale võib isikuandmete kaitse üldmääruse artikli 83 alusel määrata trahvi seoses volitatud töötleja tehtud töötlemistoimingutega, siis tuleb meenutada, et isikuandmete kaitse üldmääruse artikli 4 punktis 8 esitatud määratluse kohaselt on volitatud töötleja „füüsiline või juriidiline isik, avaliku sektori asutus, amet või muu organ, kes töötleb isikuandmeid vastutava töötleja nimel“. |
84 |
Kuna – nagu on märgitud käesoleva kohtuotsuse punktis 36 – vastutav töötleja ei vastuta mitte ainult tema enda poolse isikuandmete mis tahes töötlemise eest, vaid ka tema nimel toimuva töötlemise eest, võib vastutavale töötlejale määrata isikuandmete kaitse üldmääruse artikli 83 alusel trahvi olukorras, kus isikuandmeid töödeldakse ebaseaduslikult ja kus isikuandmeid ei ole töödelnud mitte vastutav töötleja, vaid volitatud töötleja tema nimel. |
85 |
Vastutava töötleja vastutus volitatud töötleja tegevuse eest ei saa siiski laieneda olukordadele, kus volitatud töötleja töötleb isikuandmeid tema enda huvides või kus volitatud töötleja on neid andmeid töödelnud viisil, mis on vastuolus vastutava töötleja poolt kindlaks määratud töötlemise raamistiku või korraga, või viisil, mille puhul ei saa mõistlikult leida, et vastutav töötleja on selleks nõusoleku andnud. Isikuandmete kaitse üldmääruse artikli 28 lõike 10 kohaselt tuleb volitatud töötlejat sellisel juhul pidada sellise töötlemise eest vastutavaks töötlejaks. |
86 |
Eeltoodud kaalutlusi arvestades tuleb kuuendale küsimusele vastata, et isikuandmete kaitse üldmääruse artiklit 83 tuleb tõlgendada nii, et ühest küljest võib selle sätte alusel trahvi määrata ainult siis, kui on tõendatud, et vastutav töötleja pani tahtlikult või hooletusest toime selle artikli lõigetes 4–6 osutatud rikkumise, ja teisest küljest võib sellise trahvi määrata vastutavale töötlejale seoses isikuandmete töötlemise toimingutega, mida volitatud töötleja on teinud tema nimel, välja arvatud juhul, kui volitatud töötleja on neid toiminguid teinud tema enda huvides või kui volitatud töötleja on neid andmeid töödelnud viisil, mis on vastuolus vastutava töötleja poolt kindlaks määratud töötlemise raamistiku või korraga, või viisil, mille puhul ei saa mõistlikult leida, et vastutav töötleja on selleks nõusoleku andnud. |
Kohtukulud
87 |
Kuna põhikohtuasja poolte jaoks on käesolev menetlus eelotsusetaotluse esitanud kohtus pooleli oleva asja üks staadium, otsustab kohtukulude jaotuse liikmesriigi kohus. Euroopa Kohtule seiskohtade esitamisega seotud kulusid, välja arvatud poolte kohtukulud, ei hüvitata. |
Esitatud põhjendustest lähtudes Euroopa Kohus (suurkoda) otsustab: |
|
|
|
|
Allkirjad |
( *1 ) Kohtumenetluse keel: leedu.