EUROOPA KOHTU OTSUS (viies koda)

24. veebruar 2022 ( *1 )

Eelotsusetaotlus – Füüsiliste isikute kaitse isikuandmete töötlemisel – Määrus (EL) 2016/679 – Artikkel 2 – Kohaldamisala – Artikkel 4 – Mõiste „töötlemine“ – Artikkel 5 – Töötlemise põhimõtted – Eesmärgi piirang – Võimalikult väheste andmete kogumine – Artikkel 6 – Töötlemise seaduslikkus – Töötlemine, mis on vajalik vastutaval töötlejal lasuva avalikes huvides oleva ülesande täitmiseks – Töötlemine, mis on vajalik vastutava töötleja juriidilise kohustuse täitmiseks – Artikkel 23 – Piirangud – Andmete töötlemine maksustamise eesmärgil – Nõue edastada andmeid veebis avaldatud sõidukite müügikuulutuste kohta – Proportsionaalsus

Kohtuasjas C‑175/20,

mille ese on ELTL artikli 267 alusel Administratīvā apgabaltiesa (rajooni halduskohus, Läti) 11. märtsi 2020. aasta otsusega esitatud eelotsusetaotlus, mis saabus Euroopa Kohtusse 14. aprillil 2020, menetluses

„SS“ SIA

versus

Valsts ieņēmumu dienests,

EUROOPA KOHUS (viies koda),

koosseisus: koja president E. Regan, Euroopa Kohtu president K. Lenaerts viienda koja kohtuniku ülesannetes, kohtunikud C. Lycourgos, I. Jarukaitis ja M. Ilešič (ettekandja),

kohtujurist: M. Bobek,

kohtusekretär: A. Calot Escobar,

arvestades kirjalikku menetlust,

arvestades seisukohti, mille esitasid:

–	„SS“ SIA, esindaja: M. Ruķers,

–	Läti valitsus, esindajad: K. Pommere, V. Soņeca ja L. Juškeviča, hiljem K. Pommere,

–	Belgia valitsus, esindajad: J.‑C. Halleux ja P. Cottin, keda abistas avocat C. Molitor,

–	Kreeka valitsus, esindajad: E.‑M. Mamouna ja O. Patsopoulou,

–	Hispaania valitsus, esindajad: J. Rodríguez de la Rúa Puig ja S. Jiménez García, hiljem J. Rodríguez de la Rúa Puig,

–	Euroopa Komisjon, esindajad: H. Kranenborg, D. Nardi ja I. Rubene, hiljem H. Kranenborg ja I. Rubene,

olles 2. septembri 2021. aasta kohtuistungil ära kuulanud kohtujuristi ettepaneku,

on teinud järgmise

otsuse

Eelotsusetaotlus käsitleb seda, kuidas tõlgendada Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määrust (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT 2016, L 119, lk 1; parandused ELT 2016, L 314, lk 72; ELT 2018, L 127, lk 3) ja eelkõige selle määruse artikli 5 lõiget 1.

2	Taotlus on esitatud „SS“ SIA ja Valsts ieņēmumu dienestsi (Läti maksuamet, edaspidi „Läti maksuhaldur“) vahelises kohtuvaidluses, mis puudutab nõuet edastada teavet SSi veebisaidil avaldatud sõidukite müügikuulutuste kohta.

Õiguslik raamistik

Liidu õigus

Määrus 2016/679

3	ELTL artiklil 16 põhinev määrus 2016/679 on selle artikli 99 lõike 2 kohaselt kohaldatav alates 25. maist 2018.

Selle määruse põhjendustes 1, 4, 10, 19, 26, 31, 39, 41 ja 50 on märgitud:

„(1)	Füüsiliste isikute kaitse isikuandmete töötlemisel on põhiõigus. Euroopa Liidu põhiõiguste harta („harta“) artikli 8 lõikes 1 ja [ELTL] artikli 16 lõikes 1 on sätestatud, et igaühel on õigus oma isikuandmete kaitsele.

[…]

(4)

Isikuandmete töötlemine peaks olema mõeldud teenima inimesi. Õigus isikuandmete kaitsele ei ole absoluutne õigus, vaid seda tuleb kaaluda vastavalt selle ülesandele ühiskonnas ning tasakaalustada muude põhiõigustega vastavalt proportsionaalsuse põhimõttele. Käesolevas määruses austatakse kõiki põhiõigusi ning peetakse kinni aluslepingutes sätestatud ja hartas tunnustatud põhimõtetest, eelkõige õigusest era- ja perekonnaelu, kodu ja edastatavate sõnumite saladuse austamisele, isikuandmete kaitsest, mõtte-, südametunnistuse- ja usuvabadusest, sõna- ja teabevabadusest, ettevõtlusvabadusest, õigusest tõhusale õiguskaitsevahendile ja õiglasele kohtulikule arutamisele ning kultuurilisele, usulisele ja keelelisele mitmekesisusele.

[…]

(10)	Selleks et tagada füüsiliste isikute järjekindel ja kõrgetasemeline kaitse ning kõrvaldada takistused isikuandmete liikumisel liidus, peaks füüsiliste isikute õiguste ja vabaduste kaitse selliste andmete töötlemisel olema kõigis liikmesriikides samal tasemel. […]

[…]

(19)

Füüsiliste isikute kaitset isikuandmete töötlemisel pädevate asutuste poolt süütegude tõkestamise, uurimise, avastamise või nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise, sealhulgas avalikku julgeolekut ähvardavate ohtude eest kaitsmise ja ennetamise eesmärgil ning selliste andmete vaba liikumist käsitletakse eraldiseisvas liidu tasandi õigusaktis. Seetõttu ei tuleks käesolevat määrust kohaldada nimetatud eesmärkidel teostatavate isikuandmete töötlemise toimingute suhtes. Avaliku sektori asutuste poolt käesoleva määruse alusel töödeldavaid andmeid, kui neid kasutatakse kõnealustel eesmärkidel, tuleks aga reguleerida konkreetsema liidu tasandi õigusaktiga[, milleks on] Euroopa Parlamendi ja nõukogu [27. aprilli 2016. aasta] direktiiv (EL) 2016/680[, mis käsitleb füüsiliste isikute kaitset seoses pädevates asutustes isikuandmete töötlemisega süütegude tõkestamise, uurimise, avastamise ja nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise eesmärgil ning selliste andmete vaba liikumist ning millega tunnistatakse kehtetuks nõukogu raamotsus 2008/977/JSK (ELT 2016, L 119, lk 89; parandus ELT 2018, L 127, lk 8)]. […]

[…]

(26)

Andmekaitse põhimõtteid tuleks kohaldada tuvastatud või tuvastatavat füüsilist isikut puudutava igasuguse teabe suhtes. […] Füüsilise isiku tuvastatavuse kindlakstegemisel tuleks arvesse võtta kõiki vahendeid, mida vastutav töötleja või keegi muu võib füüsilise isiku otseseks või kaudseks tuvastamiseks mõistliku tõenäosusega kasutada, näiteks teiste hulgast esiletoomine. […]

[…]

(31)

Avaliku sektori asutusi, kellele avaldatakse isikuandmeid vastavalt juriidilisele kohustusele täita oma ametiülesandeid, näiteks maksu- ja tolliasutused, finantsuurimisüksused, sõltumatud haldusasutused või finantsturuasutused, kes vastutavad väärtpaberiturgude reguleerimise ja järelevalve eest, ei peaks pidama vastuvõtjateks, kui nad saavad isikuandmeid, mida vajatakse üldistes huvides konkreetse päringu tegemiseks kooskõlas liidu või liikmesriigi õigusega. Avaliku sektori asutuste saadetavad andmete avaldamise taotlused peaksid olema alati kirjalikud, põhjendatud ja juhtumipõhised ning need ei tohiks puudutada kogu andmete kogumit või põhjustada andmete kogumite omavahelist ühendamist. Kõnealused avaliku sektori asutused peaksid selliseid isikuandmeid töötlema kooskõlas kohaldatavate andmekaitsenormidega vastavalt töötlemise eesmärkidele.

[…]

(39)

[…] Läbipaistvuse põhimõte eeldab, et nende isikuandmete töötlemisega seotud teave ja sõnumid on lihtsalt kättesaadavad, arusaadavad ning selgelt ja lihtsalt sõnastatud. Kõnealune põhimõte puudutab eelkõige andmesubjektide teavitamist vastutava töötleja identiteedist ning töötlemise eesmärgist ja täiendavast teabest, et tagada asjaomaste füüsiliste isikute suhtes õiglane ja läbipaistev töötlemine ning nende õigus saada neid puudutavate isikuandmete töötlemise kohta kinnitust ja sõnumeid. Füüsilisi isikuid tuleks teavitada isikuandmete töötlemisega seotud ohtudest, normidest, kaitsemeetmetest ja õigustest ning sellest, kuidas nad saavad sellise andmete töötlemisega seoses oma õigusi kasutada. Eelkõige peaksid olema selged ja õiguspärased isikuandmete töötlemise konkreetsed eesmärgid, mis tuleks kindlaks määrata andmete kogumise ajal. Isikuandmed peaksid olema asjakohased, piisavad ja piirduma sellega, mis on nende töötlemise otstarbe seisukohalt vajalik. See eeldab eelkõige, et tagatakse andmete säilitamise aja piirdumine rangelt minimaalsega. Isikuandmeid tuleks töödelda vaid juhul, kui nende töötlemise eesmärki ei ole mõistlikult võimalik saavutada muude vahendite abil. […]

[…]

(41)

Kui käesolevas määruses osutatakse õiguslikule alusele või seadusandlikule meetmele, ei pea selleks tingimata olema parlamendi poolt vastu võetud seadusandlik akt, ilma et see piiraks asjaomase liikmesriigi põhiseaduslikust korrast tulenevate nõuete kohaldamist. Selline õiguslik alus või seadusandlik meede peaks siiski olema selge ja täpne ning selle kohaldamine peaks olema eeldatav isikute jaoks, kelle suhtes seda kohaldatakse vastavalt [Euroopa Kohtu] ja Euroopa Inimõiguste Kohtu praktikale

[…]

(50)

Isikuandmete töötlemine muudel eesmärgil kui need, milleks isikuandmed algselt koguti, peaks olema lubatud üksnes juhul, kui töötlemine on kooskõlas eesmärkidega, mille jaoks isikuandmed algselt koguti. Sellisel juhul ei ole nõutav, et õiguslik alus oleks erinev õiguslikust alusest, mis võimaldas isikuandmete kogumist. Kui töötlemine on vajalik avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks, võib liidu või liikmesriigi õiguses kindlaks määrata ja täpsustada need ülesanded ja eesmärgid, mille puhul tuleks pidada edasist töötlemist eesmärkidele vastavaks ja seaduslikuks. Edasist töötlemist avalikes huvides toimuva arhiveerimise, teadus- või ajaloouuringute või statistilisel eesmärgil tuleks käsitada eesmärkidele vastavate seaduslike isikuandmete töötlemise toimingutena. Liidu või liikmesriigis õiguses sätestatud õiguslik alus isikuandmete töötlemiseks võib olla ka edasise töötlemise õiguslikuks aluseks. Selleks et teha kindlaks, kas edasise töötlemise eesmärk vastab eesmärgile, mille jaoks isikuandmed algselt koguti, peaks vastutav töötleja võtma pärast kõikide esialgse töötlemise seaduslikkuse seisukohast vajalike nõuete täitmist muu hulgas arvesse mis tahes seoseid sellise eesmärgi ja kavandatava edasise töötlemise eesmärgi vahel, isikuandmete kogumise konteksti, eelkõige andmesubjekti ja vastutava töötleja vahelisel suhtel põhinevaid andmesubjekti mõistlikke ootusi andmete edasise kasutamise suhtes, isikuandmete laadi, kavandatava edasise töötlemise tagajärgi andmesubjekti jaoks ning asjakohaste kaitsemeetmete olemasolu nii esialgsetes kui ka kavandatavates edasistes isikuandmete töötlemise toimingutes.“

Määruse 2016/679 artiklis 2 „Sisuline kohaldamisala“ on sätestatud:

„1. Käesolevat määrust kohaldatakse isikuandmete täielikult või osaliselt automatiseeritud töötlemise suhtes ja isikuandmete automatiseerimata töötlemise suhtes, kui kõnealused isikuandmed kuuluvad andmete kogumisse või kui need kavatsetakse andmete kogumisse kanda.

2. Käesolevat määrust ei kohaldata, kui:

a)	isikuandmeid töödeldakse muu kui liidu õiguse kohaldamisalasse kuuluva tegevuse käigus;

b)	liikmesriigid töötlevad isikuandmeid sellise tegevuse käigus, mis kuulub ELi lepingu V jaotise 2. peatüki kohaldamisalasse;

c)	isikuandmeid töötleb füüsiline isik eranditult isiklike või koduste tegevuste käigus;

d)	isikuandmeid töötlevad pädevad asutused süütegude tõkestamise, uurimise, avastamise või nende eest vastutusele võtmise ja kriminaalkaristuste täitmisele pööramise, sealhulgas avalikku julgeolekut ähvardavate ohtude eest kaitsmise ja nende ennetamise eesmärgil.

[…]“.

Määruse artikkel 4 „Mõisted“ on sõnastatud järgmiselt:

„Käesolevas määruses kasutatakse järgmisi mõisteid:

„isikuandmed“ – igasugune teave tuvastatud või tuvastatava füüsilise isiku („andmesubjekti“) kohta; tuvastatav füüsiline isik on isik, keda saab otseselt või kaudselt tuvastada, eelkõige sellise identifitseerimistunnuse põhjal nagu nimi, isikukood, asukohateave, võrguidentifikaator või selle füüsilise isiku ühe või mitme füüsilise, füsioloogilise, geneetilise, vaimse, majandusliku, kultuurilise või sotsiaalse tunnuse põhjal;

„isikuandmete töötlemine“ – isikuandmete või nende kogumitega tehtav automatiseeritud või automatiseerimata toiming või toimingute kogum, nagu kogumine, dokumenteerimine, korrastamine, struktureerimine, säilitamine, kohandamine ja muutmine, päringute tegemine, lugemine, kasutamine, edastamise, levitamise või muul moel kättesaadavaks tegemise teel avalikustamine, ühitamine või ühendamine, piiramine, kustutamine või hävitamine;

[…]

6)	„andmete kogum“ – isikuandmete igasugune korrastatud kogum, millest võib andmeid leida teatavate kriteeriumide põhjal, olenemata sellest, kas kõnealune andmete kogum on funktsionaalsel või geograafilisel põhimõttel tsentraliseeritud, detsentraliseeritud või hajutatud;

7)	„vastutav töötleja“ – füüsiline või juriidiline isik, riigiasutus, esindused või mõni muu organ, kes määrab üksi või koos teistega kindlaks isikuandmete töötlemise eesmärgid ja vahendid; […]

[…]

„vastuvõtja“ – füüsiline või juriidiline isik, avaliku sektori asutus, amet või muu organ, kellele isikuandmed avaldatakse, olenemata sellest, kas tegemist on kolmanda isikuga või mitte. Vastuvõtjaiks ei peeta siiski avaliku sektori asutusi, kes võivad kooskõlas liidu või liikmesriigi õigusega saada isikuandmeid seoses konkreetse päringuga; nimetatud avaliku sektori asutused töötlevad kõnealuseid andmeid kooskõlas kohaldatavate andmekaitsenormidega vastavalt töötlemise eesmärkidele;

[…]“.

Kõnealuse määruse artiklis 5 „Isikuandmete töötlemise põhimõtted“ on sätestatud:

„1. Isikuandmete töötlemisel tagatakse, et

a)	töötlemine on seaduslik, õiglane ja andmesubjektile läbipaistev („seaduslikkus, õiglus ja läbipaistvus“);

b)	isikuandmeid kogutakse täpselt ja selgelt kindlaksmääratud ning õiguspärastel eesmärkidel ning neid ei töödelda hiljem viisil, mis on nende eesmärkidega vastuolus; […] („eesmärgi piirang“);

c)	isikuandmed on asjakohased, olulised ja piiratud sellega, mis on vajalik nende töötlemise eesmärgi seisukohalt („võimalikult väheste andmete kogumine“);

d)	isikuandmed on õiged ja vajaduse korral ajakohastatud ning et võetakse kõik mõistlikud meetmed, et töötlemise eesmärgi seisukohast ebaõiged isikuandmed kustutaks või parandataks viivitamata („õigsus“);

e)	isikuandmeid säilitatakse kujul, mis võimaldab andmesubjekte tuvastada ainult seni, kuni see on vajalik selle eesmärgi täitmiseks, milleks isikuandmeid töödeldakse; […] („säilitamine piirang“);

isikuandmeid töödeldakse viisil, mis tagab isikuandmete asjakohase turvalisuse, sealhulgas kaitseb loata või ebaseadusliku töötlemise eest ning juhusliku kaotamise, hävitamise või kahjustumise eest, kasutades asjakohaseid tehnilisi või korralduslikke meetmeid („usaldusväärsus ja konfidentsiaalsus“);

2. Lõike 1 täitmise eest vastutab ja on võimeline selle täitmist tõendama vastutav töötleja („vastutus“).“

Sama määruse artiklis 6 „Isikuandmete töötlemise seaduslikkus“ on ette nähtud:

„1. Isikuandmete töötlemine on seaduslik ainult juhul, kui on täidetud vähemalt üks järgmistest tingimustest, ning sellisel määral, nagu see tingimus on täidetud:

a)	andmesubjekt on andnud nõusoleku töödelda oma isikuandmeid ühel või mitmel konkreetsel eesmärgil;

b)	isikuandmete töötlemine on vajalik andmesubjekti osalusel sõlmitud lepingu täitmiseks või lepingu sõlmimisele eelnevate meetmete võtmiseks vastavalt andmesubjekti taotlusele;

c)	isikuandmete töötlemine on vajalik vastutava töötleja seadusjärgse kohustuse täitmiseks;

d)	isikuandmete töötlemine on vajalik andmesubjekti või mõne muu füüsilise isiku eluliste huvide kaitsmiseks;

e)	isikuandmete töötlemine on vajalik avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks;

f)	isikuandmete töötlemine on vajalik vastutava töötleja või kolmanda isiku õigustatud huvi korral, välja arvatud juhul, kui sellise huvi kaaluvad üles andmesubjekti huvid või põhiõigused ja -vabadused, mille nimel tuleb kaitsta isikuandmeid, eriti juhul kui andmesubjekt on laps.

Esimese lõigu punkti f ei kohaldata, kui isikuandmeid töötleb avaliku sektori asutus oma ülesannete täitmisel.

2. Liikmesriigid võivad säilitada või kehtestada konkreetsemad sätted, et kohandada käesoleva määruse sätete kohaldamist seoses isikuandmete töötlemisega lõike 1 punktide c ja e täitmiseks, määrates üksikasjalikumalt kindlaks töötlemise konkreetsed nõuded ja teised meetmed, et tagada seaduslik ja õiglane töötlemine, sealhulgas teiste andmetöötluse eriolukordade jaoks, nagu see on sätestatud IX peatükis.

3. Lõike 1 punktides c ja e osutatud isikuandmete töötlemise alus kehtestatakse:

a)	liidu õigusega või

b)	vastutava töötleja suhtes kohaldatava liikmesriigi õigusega.

Isikuandmete töötlemise eesmärk määratakse kindlaks selles õiguslikus aluses või see on lõike 1 punktis e osutatud isikuandmete töötlemise osas vajalik avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks. […] Liidu või liikmesriigi õigus vastab avaliku huvi eesmärgile ning on proportsionaalne taotletava õiguspärase eesmärgiga.

4. Kui isikuandmete töötlemine muul eesmärgil kui see, milleks isikuandmeid koguti, ei põhine andmesubjekti nõusolekul või liidu või liikmesriigi õigusel, mis on demokraatlikus ühiskonnas vajalik ja proportsionaalne meede, et tagada artikli 23 lõikes 1 osutatud eesmärkide täitmine, võtab vastutav töötleja selle kindlakstegemiseks, kas muul eesmärgil töötlemine on kooskõlas eesmärgiga, mille jaoks isikuandmeid algselt koguti, muu hulgas arvesse

a)	seost nende eesmärkide, mille jaoks isikuandmeid koguti, ja kavandatava edasise töötlemise eesmärkide vahel;

b)	isikuandmete kogumise konteksti, eelkõige andmesubjektide ja vastutava töötleja vahelist seost;

c)	isikuandmete laadi, eelkõige seda, kas töödeldakse isikuandmete eriliike vastavalt artiklile 9 või süüteoasjades süüdimõistvate kohtuotsuste ja süütegudega seotud isikuandmeid vastavalt artiklile 10;

d)	kavandatava edasise töötlemise võimalikke tagajärgi andmesubjektide jaoks;

e)	asjakohaste kaitsemeetmete olemasolu, milleks võivad olla näiteks krüpteerimine ja pseudonümiseerimine.“

Määruse 2016/679 artikli 13 lõike 3 kohaselt:

„Kui vastutav töötleja kavatseb isikuandmeid edasi töödelda muul eesmärgil kui see, milleks isikuandmeid koguti, esitab vastutav töötleja andmesubjektile enne edasist isikuandmete töötlemist teabe kõnealuse muu eesmärgi kohta ja muu asjakohase lõikes 2 osutatud täiendava teabe“.

Määruse artiklis 14 on sätestatud:

„1. Kui isikuandmed ei ole saadud andmesubjektilt, teeb vastutav töötleja andmesubjektile teatavaks järgmise teabe:

[…]

c)	isikuandmete töötlemise eesmärk ja õiguslik alus;

[…]

5. Lõikeid 1–4 ei kohaldata, kui ja sel määral mil

[…]

c)	isikuandmete saamine või avaldamine on selgesõnaliselt sätestatud vastutava töötleja suhtes kohaldatavas liidu või liikmesriigi õiguses, milles nähakse ette asjakohased meetmed andmesubjekti õigustatud huvide kaitsmiseks, […]

[…]“.

Määruse artikli 23 lõike 1 punktis e on sätestatud:

„Vastutava töötleja või volitatud töötleja suhtes kohaldatavas liidu või liikmesriigi õiguses võib seadusandliku meetmega piirata artiklites 12–22 ja artiklis 34, samuti artiklis 5 sätestatud kohustuste ja õiguste ulatust, kuivõrd selle sätted vastavad artiklites 12–22 sätestatud õigustele ja kohustustele, kui selline piirang austab põhiõiguste ja ‑vabaduste olemust ning on demokraatlikus ühiskonnas vajalik ja proportsionaalne meede, et tagada

[…]

e)	liidu või liikmesriigi muud üldist avalikku huvi pakkuvad olulised eesmärgid, eelkõige liidu või liikmesriigi oluline majanduslik või finantshuvi, sealhulgas rahandus-, eelarve- ja maksuküsimused, rahvatervis ja sotsiaalkindlustus;

[…]“.

Määruse 2016/679 artikli 25 lõikes 2 on ette nähtud:

Vastutav töötleja rakendab asjakohaseid tehnilisi ja korralduslikke meetmeid, millega tagatakse, et vaikimisi töödeldakse ainult isikuandmeid, mis on vajalikud töötlemise konkreetse eesmärgi saavutamiseks. See kehtib kogutud isikuandmete hulga, nende töötlemise ulatuse, nende säilitamise aja ja nende kättesaadavuse suhtes. Nende meetmetega tagatakse eelkõige see, et isikuandmeid ei tehta vaikimisi ilma asjaomase isiku sekkumiseta määramata füüsiliste isikute ringile kättesaadavaks.“

Direktiiv 2016/680

Direktiivi 2016/680 põhjendustes 10 ja 11 on märgitud:

„(10)

Lissaboni lepingu vastu võtnud valitsustevahelise konverentsi lõppaktile lisatud deklaratsioonis nr 21 (isikuandmete kaitse kohta kriminaalasjades tehtava õigusalase koostöö ja politseikoostöö valdkonnas) tunnistas konverents, et kriminaalasjades tehtava õigusalase koostöö ja politseikoostöö eripära tõttu võib tekkida vajadus [ELTL] artiklil 16 põhinevate erinormide järele seoses isikuandmete kaitse ja isikuandmete vaba liikumisega kõnealustes valdkondades.

(11)

Seetõttu on asjakohane reguleerida kõnealuseid valdkondi direktiiviga, mis sätestab erinormid, mis käsitlevad füüsiliste isikute kaitset seoses pädevates asutustes isikuandmete töötlemisega süütegude tõkestamise, uurimise, avastamise ja nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise, sealhulgas avalikku julgeolekut ähvardavate ohtude eest kaitsmise ja nende ennetamise eesmärgil, võttes arvesse kõnealuste tegevuste eripära. Sellised pädevad asutused võivad olla mitte üksnes avaliku sektori asutused nagu õigusasutused, politsei ja teised õiguskaitseasutused, vaid ka kõik muud asutused või üksused, kes teostavad liikmesriigi õiguse kohaselt avalikku võimu käesoleva direktiivi kohaldamisel. Kui selline asutus või üksus töötleb isikuandmeid muul eesmärgil kui käesoleva direktiivi kohaldamine, kohaldatakse määrust [2016/679]. Seepärast kohaldatakse määrust [2016/679] juhul, kui asutus või üksus kogub isikuandmeid muul eesmärgil ja täiendavalt töötleb kõnealuseid isikuandmeid oma juriidilise kohustuse täitmiseks. […]“.

Selle direktiivi artiklis 3 on sätestatud:

Käesolevas direktiivis kasutatakse järgmisi mõisteid:

[…]

7. „pädev asutus“–

a)	avaliku sektori asutus, kes on pädev süütegusid tõkestama, uurima, avastama või nende eest vastutusele võtma või kriminaalkaristusi täitmisele pöörama, sealhulgas kaitsma avalikku julgeolekut ähvardavate ohtude eest ja neid ohte ennetama, või

b)	muu asutus või üksus, kes teostab liikmesriigi õiguse kohaselt avalikku võimu süütegude tõkestamise, uurimise, avastamise või nende eest vastutusele võtmise ja kriminaalkaristuste täitmisele pööramise, sealhulgas avalikku julgeolekut ähvardavate ohtude eest kaitsmise ja nende ennetamise eesmärgil;

[…]“.

Läti õigus

Vastavalt maksude ja lõivude seaduse (likums „Par nodokļiem un nodevām“, Latvijas Vēstnesis, 1995, nr 26) põhikohtuasjas kohaldatava redaktsiooni (edaspidi „üldine maksuseadus“) artikli 15 lõikele 6 on internetikuulutuste teenuse osutajatel kohustus esitada Läti maksuhalduri nõudmisel nende käsutuses olev teave maksukohustuslaste kohta, kes on neid teenuseid kasutades kuulutusi avaldanud.

Põhikohtuasi ja eelotsuse küsimused

16	SS on Lätis asuv internetikuulutuste teenuse pakkuja.

Läti maksuhaldur saatis 28. augustil 2018 SSile üldise maksuseaduse artikli 15 lõike 6 alusel teabenõude, milles palus sellel äriühingul taastada tema juurdepääsu teabele selle äriühingu hallataval veebisaidil avaldatud kuulutustes reklaamitud sõidukite kerenumbrite ja müüjate telefoninumbrite kohta ning esitada talle hiljemalt 3. septembriks 2018 teabe selle veebisaidi rubriigis „Sõiduautod“ ajavahemikul 14. juulist kuni 31. augustini 2018 avaldatud kuulutuste kohta.

18	Teabenõudes oli täpsustatud, et teave, mis sisaldab kuulutuse linki, kuulutuse teksti, sõiduki marki, mudelit, kerenumbrit, hinda ja müüja telefoninumbrit, tuleb esitada elektrooniliselt, andmete filtreerimist või valimist võimaldavas vormis.

19	Lisaks, juhul kui juurdepääsu asjaomases veebiportaalis avaldatud reklaamis sisalduvale teabele ei ole võimalik taastada, paluti SSil märkida selle põhjus ja esitada hiljemalt iga kuu kolmandaks päevaks asjakohane teave eelmisel kuul avaldatud kuulutuste kohta.

20	Kuna SS leidis, et Läti maksuhalduri teabenõue ei ole kooskõlas määrusega 2016/679 tagatud proportsionaalsuse põhimõtte ja võimalikult väheste isikuandmete kogumise põhimõttega, esitas ta selle teabenõude peale Läti maksuameti peadirektori kohusetäitjale vaide.

21	Viimane jättis vaide 30. oktoobri 2018. aasta otsusega rahuldamata, märkides muu hulgas, et põhikohtuasjas käsitletavate isikuandmete töötlemisel kasutab Läti maksuhaldur talle seadusega antud volitusi.

SS esitas Administratīvā rajona tiesale (rajooni halduskohus, Läti) kaebuse selle otsuse tühistamiseks. Lisaks argumentidele, mis ta oli esitanud vaides, väitis ta kaebuses, et selles otsuses ei ole märgitud Läti maksuhalduri kavandatud isikuandmete töötlemise konkreetset eesmärki ega selle jaoks vajalike andmete kogust, mistõttu on see vastuolus määruse 2016/679 artikli 5 lõikega 1.

Administratīvā rajona tiesa (rajooni halduskohus) jättis kaebuse 21. mai 2019. aasta kohtuotsusega rahuldamata, märkides sisuliselt, et Läti maksuhalduril oli õigus küsida iga isiku kohta piiramatult teavet, välja arvatud juhul, kui seda teavet peetakse maksude kogumisega seotud eesmärkidega vastuolus olevaks. See kohus leidis lisaks, et määruse 2016/679 sätted ei ole selle asutuse suhtes kohaldatavad.

SS esitas selle kohtuotsuse peale apellatsioonkaebuse eelotsusetaotluse esitanud kohtule, väites, et esiteks on määruse 2016/679 sätted Läti maksuhalduri suhtes kohaldatavad ja teiseks rikkus maksuhaldur proportsionaalsuse põhimõtet sellega, et nõudis igas kuus ja ajaliste piiranguteta suurt hulka isikuandmeid piiramata arvu kuulutuste kohta, ilma et oleks märgitud maksukohustuslased, kelle suhtes on algatatud maksukontroll.

Eelotsusetaotluse esitanud kohus märgib, et põhikohtuasjas ei ole vaidlust selles, et vaidlusaluse teabenõude täitmine on lahutamatult seotud isikuandmete töötlemisega, ja samuti on selge, et Läti maksuhalduril on õigus saada teavet, mis on kättesaadav internetikuulutuste teenuse osutajale ja mis on vajalik konkreetsete maksukogumismeetmete rakendamiseks.

26	Põhikohtuasi puudutab selle teabe hulka ja liiki, mida Läti maksuhaldur võib nõuda, samuti seda, kas see teave on piiratud või piiramatu ning küsimust, kas SSil lasuv teabe edastamise kohustus peab olema ajaliselt piiratud.

Täpsemalt leiab eelotsusetaotluse esitanud kohus, et tema ülesanne on kindlaks teha, kas põhikohtuasja asjaoludel toimub isikuandmete töötlemine andmesubjektide suhtes läbipaistvalt, kas teabenõudes nõutud teavet küsitakse kindlaksmääratud, selgetel ja õiguspärastel eesmärkidel ning kas isikuandmete töötlemine toimub üksnes niivõrd, kui see on tõepoolest vajalik Läti maksuameti ülesannete täitmiseks määruse 2016/679 artikli 5 lõike 1 tähenduses.

Tema hinnangul on selleks vaja kindlaks määrata kriteeriumid, mis võimaldavad hinnata, kas Läti maksuhalduri esitatud teabenõue austab põhiõiguste ja ‑vabaduste olemust ning kas põhikohtuasjas kõne all olevat teabenõuet võib pidada demokraatlikus ühiskonnas vajalikuks ja proportsionaalseks selleks, et tagada liidu olulised eesmärgid ning Läti avalik huvi eelarve- ja maksuküsimustes.

Neil asjaoludel otsustas Administratīvā apgabaltiesa (regionaalne halduskohus, Läti) menetluse peatada ja esitada Euroopa Kohtule järgmised eelotsuse küsimused:

„1.

Kas määruses [2016/679] sätestatud nõudeid tuleb tõlgendada nii, et niisugune maksuhalduri väljastatud teabenõue, mis on vaidlustatud käesolevas asjas ja millega nõutakse märkimisväärset hulka isikuandmeid sisaldavat teavet, peab vastama määruses 2016/679 (eriti selle artikli 5 lõikes 1) sätestatud nõuetele?

2.	Kas määruses [2016/679] sätestatud nõudeid tuleb tõlgendada nii, et maksuhaldur võib teha selle määruse artikli 5 lõikes 1 sätestatust erandi ka siis, kui Läti kehtivad õigusnormid maksuhaldurile seda õigust ei anna?

Kas määruses [2016/679] sätestatud nõuete tõlgendamisel võib asuda seisukohale, et esineb õiguspärane eesmärk, mis õigustab käesolevas kohtuasjas vaidlustatud teabenõudega pandud kohustust esitada kõik nõutud andmed piiritlemata hulgal ja ajavahemiku kohta, ilma et oleks kehtestatud lõppkuupäeva selle teabenõude täitmiseks?

Kas määruses [2016/679] sätestatud nõuete tõlgendamisel võib asuda seisukohale, et esineb õiguspärane eesmärk, mis õigustab käesolevas kohtuasjas vaidlustatud teabenõudega pandud kohustust esitada kõik nõutud andmed, isegi kui teabenõudes ei ole teabe edastamise eesmärki märgitud (või see on märgitud puudulikult)?

Kas määruses [2016/679] sätestatud nõuete tõlgendamisel võib asuda seisukohale, et esineb õiguspärane eesmärk, mis õigustab käesolevas kohtuasjas vaidlustatud teabenõudega pandud kohustust esitada kõik nõutud andmed, isegi kui praktikas puudutab see absoluutselt kõiki andmesubjekte, kes on avaldanud kuulutusi portaali rubriigis „Sõiduautod“?

6.	Milliste kriteeriumide alusel tuleb kontrollida, kas maksuhaldur, kes tegutseb vastutava töötlejana, tagab nõuetekohaselt, et andmete töötlemine (sealhulgas ka teabe kogumine) on määruses [2016/679] sätestatud nõuetega kooskõlas?

7.	Milliste kriteeriumide alusel tuleb kontrollida, kas niisugune teabenõue, nagu on vaidlustatud käesolevas asjas, on nõuetekohaselt põhjendatud ja juhtumipõhine?

8.	Milliste kriteeriumide alusel tuleb kontrollida, kas isikuandmete töötlemine toimub sel määral, mis on vajalik, ja on määruses [2016/679] sätestatud nõuetega kooskõlas?

9.	Milliste kriteeriumide alusel tuleb kontrollida, kas maksuhaldur, kes tegutseb vastutava töötlejana, tagab, et andmete töötlemine vastab määruses [2016/679] artikli 5 lõikes 1 sätestatud nõuetele (vastutus)?“

Eelotsuse küsimuste analüüs

Esimene küsimus

Esimese küsimusega palub eelotsusetaotluse esitanud kohus sisuliselt selgitada, kas määruse 2016/679 sätteid tuleb tõlgendada nii, et liikmesriigi maksuhalduri poolt ettevõtjalt märkimisväärset hulka isikuandmeid sisaldava teabe kogumine kuulub selle määruse, eelkõige selle artikli 5 lõikes 1 sätestatud nõuete kohaldamisalasse.

Sellele küsimusele vastamiseks tuleb esiteks kontrollida seda, kas taoline nõue kuulub määruse 2016/679 esemelisse kohaldamisalasse, nagu see on määratletud selle määruse artikli 2 lõikes 1, ja teiseks seda, kas see ei kuulu isikuandmete niisuguse töötlemise hulka, mis on selle määruse artikli 2 lõike 2 kohaselt selle määruse kohaldamisalast välja jäetud.

Esimesena olgu märgitud, et määruse 2016/679 artikli 2 lõike 1 kohaselt kohaldatakse seda määrust isikuandmete täielikult või osaliselt automatiseeritud töötlemise suhtes ja isikuandmete automatiseerimata töötlemise suhtes, kui kõnealused isikuandmed kuuluvad andmete kogumisse või kui need kavatsetakse andmete kogumisse kanda.

Määruse 2016/679 artikli 4 punktis 1 on täpsustatud, et „isikuandmete“ all tuleb mõista igasugust teavet tuvastatud või tuvastatava füüsilise isiku kohta, st sellise füüsiline isiku kohta, keda saab otseselt või kaudselt tuvastada eelkõige sellise identifitseerimistunnuse põhjal nagu nimi, isikukood, asukohateave, võrguidentifikaator või selle füüsilise isiku ühe või mitme füüsilise, füsioloogilise, geneetilise, vaimse, majandusliku, kultuurilise või sotsiaalse tunnuse põhjal. Määruse põhjenduses 26 on selle kohta täpsustatud, et füüsilise isiku tuvastatavuse kindlakstegemisel tuleks arvesse võtta kõiki vahendeid, mida vastutav töötleja või keegi muu võib füüsilise isiku otseseks või kaudseks tuvastamiseks mõistliku tõenäosusega kasutada.

34	Põhikohtuasjas on selge, et teave, mille edastamist Läti maksuhaldur nõuab, on isikuandmed määruse 2016/679 artikli 4 punkti 1 tähenduses.

Selle määruse artikli 4 punkti 2 kohaselt kujutavad isikuandmete kogumine, lugemine, edastamise teel kättesaadavaks tegemine ning mis tahes muul moel avalikustamine endast „töötlemist“ nimetatud määruse tähenduses. Selle sätte sõnastusest, eelkõige väljendist „[mis tahes] toiming“ nähtub, et liidu seadusandja on soovinud anda mõistele „töötlemine“ laia ulatuse. Seda tõlgendust kinnitab selles sättes nimetatud toimingute loetelu mitteammendavus, mida on väljendatud sõnaga „nagu“.

36	Käesoleval juhul nõuab Läti maksuhaldur, et puudutatud ettevõtja uuendaks maksuhalduri talituste juurdepääsu tema veebiportaalis avaldatud kuulutuste esemeks olevate sõidukite kerenumbritele ja annaks talle teavet selles portaalis avaldatud kuulutuste kohta.

Niisugune nõue, millega liikmesriigi maksuhaldur nõuab ettevõtjalt selliste isikuandmete edastamist ja kättesaadavaks tegemist, mida viimane peab talle selles liikmesriigis kehtivate eeskirjade kohaselt esitama ja kättesaadavaks tegema, käivitab nende andmete „kogumise“ protsessi määruse 2016/679 artikli 4 punkti 2 tähenduses.

38	„Töötlemist“ osutatud artikli 4 lõike 2 tähenduses hõlmab ka see, kui asjasse puutuv ettevõtja edastab kõnealused andmed sellele haldusasutusele ja see, kui ta teeb need talle kättesaadavaks.

39	Teisena tuleb analüüsida seda, kas toimingut, millega liikmesriigi maksuhaldur soovib ettevõtjalt koguda teatud maksukohustuslasi puudutavaid isikuandmeid, võib pidada määruse 2016/679 artikli 2 lõike 2 alusel selle määruse kohaldamisalast välja jäetuks.

Sellega seoses tuleb kõigepealt märkida, et see säte näeb ette erandid, mis ei kuulu selle määruse kohaldamisalasse, mis on määratletud selle määruse artikli 2 lõikes 1, ja neid erandeid tuleb tõlgendada kitsalt (16. juuli 2020. aasta kohtuotsus Facebook Ireland ja Schrems, C‑311/18, EU:C:2020:559, punkt 84).

41	Täpsemalt on määruse 2016/679 artikli 2 lõike 2 punktis d sätestatud, et seda määrust ei kohaldata, kui isikuandmeid töötlevad pädevad asutused süütegude tõkestamise, avastamise, uurimise või nende eest vastutusele võtmise ja kriminaalkaristuste täitmisele pööramise eesmärgil.

Nagu nähtub selle määruse põhjendusest 19, on see erand põhjendatud asjaoluga, et isikuandmete töötlemist sel eesmärgil ja pädevate asutuste poolt reguleerib spetsiifilisem liidu õigusakt, nimelt direktiiv 2016/680, mis võeti vastu samal päeval kui määrus 2016/679 ja mille artikli 3 punktis 7 on määratletud see, mida tuleb mõista „pädeva asutuse“ all, kusjuures seda määratlust tuleb analoogia alusel kohaldada selle määruse artikli 2 lõike 2 punkti d suhtes (vt selle kohta 22. juuni 2021. aasta kohtuotsus Latvijas Republikas Saeima (karistuspunktid), C‑439/19, EU:C:2021:504, punkt 69).

Direktiivi 2016/680 põhjendusest 10 nähtub, et mõistet „pädev asutus“ tuleb mõista seoses isikuandmete kaitsega kriminaalasjades tehtava õigusalase koostöö ja politseikoostöö valdkonnas, võttes arvesse abinõusid, mis võivad sellega seoses nimetatud valdkondade eripära tõttu vajalikuks osutuda. Lisaks on selle direktiivi põhjenduses 11 täpsustatud, et määrust 2016/679 kohaldatakse isikuandmete töötlemise suhtes, mida teostab „pädev asutus“ selle direktiivi artikli 3 punkti 7 tähenduses, kuid muudel eesmärkidel kui need, mis on ette nähtud selles direktiivis (22. juuni 2021. aasta kohtuotsus Latvijas Republikas Saeima (karistuspunktid), C‑439/19, EU:C:2021:504, punkt 70).

Seega, kui liikmesriigi maksuhaldur nõuab, et ettevõtja esitaks talle teatavate maksumaksjate isikuandmed maksude kogumise ja maksupettustega võitlemise eesmärgil, ei näi, et teda saaks pidada „pädevaks asutuseks“ direktiivi 2016/680 artikli 3 punkti 7 tähenduses ega seega ka, et niisugused teabenõuded võiksid kuuluda määruse 2016/679 artikli 2 lõike 2 punktis d ette nähtud erandi alla.

Lisaks, kuigi ei ole välistatud, et põhikohtuasjas kõne all olevaid isikuandmeid võidakse kasutada kriminaalmenetluses, mida maksualase rikkumise korral võidakse teatavate andmesubjektide suhtes läbi viia, ei näi, et põhikohtuasjas käsitletavaid andmeid koguti spetsiaalselt sellise kriminaalmenetluse jaoks või seoses riigi tegevustega kriminaalõiguse valdkonnas (vt selle kohta 27. septembri 2017. aasta kohtuotsus Puškár, C‑73/16, EU:C:2017:725, punkt 40).

46	Järelikult kuulub ettevõtja veebisaidil avaldatud sõidukite müügikuulutustega seotud isikuandmete kogumine liikmesriigi maksuhalduri poolt määruse 2016/679 esemelisse kohaldamisalasse ja peab seetõttu muu hulgas vastama kõnealuse määruse artikliga 5 tagatud isikuandmete töötlemise põhimõtetele.

Kõiki eeltoodud kaalutlusi arvestades tuleb esimesele küsimusele vastata, et määruse 2016/679 sätteid tuleb tõlgendada nii, et see, kui liikmesriigi maksuhaldur kogub ettevõtjalt märkimisväärset hulka isikuandmeid sisaldavat teavet, kuulub selle määruse, eelkõige selle artikli 5 lõikes 1 sätestatud nõuete kohaldamisalasse.

Teine küsimus

Teise küsimusega palub eelotsusetaotluse esitanud kohus sisuliselt selgitada, kas määruse 2016/679 sätteid tuleb tõlgendada nii, et liikmesriigi maksuhaldur võib teha erandi selle määruse artikli 5 lõikes 1 sätestatust isegi siis, kui talle ei ole sellist õigust antud selle liikmesriigi riigisisese õigusega.

49	Sissejuhatuseks olgu märgitud, et nagu nähtub määruse 2016/679 põhjendusest 10, on selle määruse eesmärk eelkõige tagada liidus füüsiliste isikute kõrgetasemeline kaitse.

Selleks on määruse 2016/679 II peatükis ette nähtud isikuandmete töötlemise põhimõtted ja III peatükis andmesubjekti õigused, mida tuleb igasugusel isikuandmete töötlemisel järgida. Täpsemalt peab igasugune isikuandmete töötlemine olema kooskõlas määruse artiklis 5 sätestatud töötlemise põhimõtetega (vt selle kohta 6. oktoobri 2020. aasta kohtuotsus La Quadrature du Net jt, C‑511/18, C‑512/18 ja C‑520/18, EU:C:2020:791, punkt 208).

Määruse 2016/679 artikkel 23 lubab liidul ja liikmesriikidel siiski võtta „seadusandlikke meetmeid“, mis piiravad muu hulgas määruse artiklis 5 ette nähtud kohustuste ja õiguste ulatust tingimusel, et need meetmed vastavad selle määruse artiklites 12–22 sätestatud õigustele ja kohustustele, juhul kui selline piirang austab põhiõiguste ja -vabaduste olemust ning on demokraatlikus ühiskonnas vajalik ja proportsionaalne meede, et tagada liidu või liikmesriigi üldist avalikku huvi pakkuvad sellised olulised eesmärgid nagu eelkõige oluline majanduslik või finantshuvi, sealhulgas eelarve- ja maksuküsimuste valdkonnas.

52	Sellega seoses tuleneb määruse 2016/679 põhjendusest 41, et selles määruses sisalduv viide „seadusandlikule meetmele“ ei tähenda tingimata, et nõutav on seadusandliku akti vastuvõtmine parlamendi poolt.

53	Samas tuleb meenutada, et määruse 2016/679 põhjenduse 4 kohaselt austatakse selles määruses kõiki põhiõigusi ning peetakse kinni aluslepingutes sätestatud ja hartas tunnustatud põhimõtetest, mille hulka kuulub muu hulgas ka isikuandmete kaitse.

Vastavalt harta artikli 52 lõike 1 esimesele lausele tohib aga hartaga tunnustatud õiguste ja vabaduste, sealhulgas harta artikliga 7 tagatud õiguse eraelu puutumatusele ja harta artikliga 8 tagatud õiguse isikuandmete kaitsele teostamist piirata ainult seadusega, mis konkreetsemalt tähendab, et õiguslik alus, mis võimaldab neid õigusi riivata, peab ise määratlema selle, kui ulatuslikult tohib asjaomase õiguse teostamist piirata (vt selle kohta 6. oktoobri 2020. aasta kohtuotsus Privacy International, C‑623/17, EU:C:2020:790, punkt 65 ja seal viidatud kohtupraktika).

Sellega seoses on Euroopa Kohus veel otsustanud, et õigusaktid, mis sisaldavad sellist riivet lubavat meedet, peavad sätestama selged ja täpsed reeglid, mis reguleerivad kõnealuse meetme ulatust ja kohaldamist ning kehtestavad miinimumnõuded, millest tulenevalt on isikutel, kelle isikuandmetega on tegu, piisavad tagatised, mis võimaldavad neid andmeid kuritarvitamise ohu eest tõhusalt kaitsta (vt selle kohta 2. märtsi 2021. aasta kohtuotsus Prokuratuur (tingimused elektroonilise side andmetele juurdepääsuks), C‑746/18, EU:C:2021:152, punkt 48 ja seal viidatud kohtupraktika).

Järelikult peavad kõik määruse 2016/679 artikli 23 alusel võetud meetmed olema selged ja täpsed, nagu liidu seadusandja on seda ka määruse põhjenduses 41 rõhutanud, ning nende kohaldamine peab olema õigussubjektidele ettenähtav. Eelkõige peab viimastel olema võimalik kindlaks teha asjaolud ja tingimused, mille esinemisel võib neile selle määrusega antud õiguste ulatust piirata.

Eeltoodud kaalutlustest tuleneb, et liikmesriigi maksuhaldur ei või teha erandeid määruse 2016/679 artiklis 5 sätestatust, kui liidu või liikmesriigi õiguses puudub selge ja täpne õiguslik alus, mille kohaldamine on õigussubjektidele ettenähtav ning milles on ette nähtud asjaolud ja tingimused, mille korral võib kõnealuses artiklis 5 ette nähtud kohustuste ja õiguste ulatust piirata.

58	Seetõttu tuleb teisele küsimusele vastata, et määruse 2016/679 sätteid tuleb tõlgendada nii, et liikmesriigi maksuhaldur ei või teha erandeid selle määruse artikli 5 lõikes 1 sätestatust, kui talle ei ole sellist õigust antud seadusandliku meetmega selle määruse artikli 23 lõike 1 tähenduses.

Kolmas kuni üheksas küsimus

Kolmanda kuni üheksanda küsimusega, mida tuleb analüüsida koos, palub eelotsusetaotluse esitanud kohus sisuliselt selgitada, kas määruse 2016/679 sätteid tuleb tõlgendada nii, et nendega on vastuolus see, kui liikmesriigi maksuhaldur kohustab internetikuulutuste teenuse osutajat edastama talle määramata ajavahemiku jooksul ja ilma selle edastamise eesmärki täpsustamata teavet kõigi maksukohustuslaste kohta, kes on avaldanud kuulutusi tema veebiportaali teatavas rubriigis.

Kõigepealt tuleb märkida, et sellises olukorras, nagu on kõne all põhikohtuasjas, võib toimuda kaks isikuandmete töötlemist. Nagu nähtub käesoleva kohtuotsuse punktidest 37 ja 38, on tegemist isikuandmete kogumisega maksuhalduri poolt asjaomaselt teenuseosutajalt ja selle raames teenuseosutaja poolt nende andmete maksuhaldurile edastamise teel kättesaadavaks tegemisega.

Nagu nähtub käesoleva kohtuotsuse punktis 50 viidatud kohtupraktikast, peab iga selline töötlemine – välja arvatud määruse 2016/679 artiklis 23 lubatud erandid – järgima isikuandmete töötlemise põhimõtteid, mida on mainitud selle määruse artiklis 5, ning andmesubjekti õigusi, mis on sätestatud selle määruse artiklites 12–22.

Käesoleval juhul tekitab eelotsusetaotluse esitanud kohtu jaoks küsimusi eelkõige asjaolu, et ühest küljest puudutavad käesoleva kohtuotsuse punktis 60 nimetatud töötlemistoimingud piiramata kogust teavet määramata ajavahemiku kohta, ja teisest küljest ei ole teabenõudes täpsustatud nende töötlemistoimingute eesmärki.

63	Sellega seoses tuleb esiteks rõhutada, et määruse 2016/679 artikli 5 lõike 1 punktis b on ette nähtud, et isikuandmeid kogutakse täpselt ja selgelt kindlaksmääratud ning õiguspärastel eesmärkidel.

64	Kõigepealt tähendab nõue, et töötlemise eesmärgid peavad olema kindlaks määratud, nagu nähtub selle määruse põhjendusest 39, et need peavad olema paika pandud hiljemalt isikuandmete kogumise ajal.

65	Järgmiseks peavad töötlemise eesmärgid olema selgelt kindlaks määratud, mis tähendab, et need peavad olema selgelt väljendatud.

66	Viimaks peavad need eesmärgid olema õiguspärased. Seega on oluline, et need tagaksid töötlemise seaduslikkuse kõnealuse määruse artikli 6 lõike 1 tähenduses.

67	Käesoleva kohtuotsuse punktis 60 nimetatud töötlemistoimingute aluseks on isikuandmete edastamise nõue, mille Läti maksuhaldur esitas internetikuulutuste teenuse osutajale. Sellega seoses näib, et üldise maksuseaduse artikli 15 lõike 6 kohaselt on teenuseosutaja kohustatud selle nõude täitma.

68	Arvestades käesoleva kohtuotsuse punktides 64 ja 65 esitatud kaalutlusi, on vaja, et nende töötlemistoimingute eesmärgid oleksid selles nõudes selgelt välja toodud.

Juhul kui selles nõudes nimetatud eesmärgid on vajalikud avalikes huvides oleva ülesande täitmiseks või maksuhaldurile usaldatud avaliku võimu teostamiseks, siis on see asjaolu – nagu nähtub määruse 2016/679 artikli 6 lõike 1 esimese lõigu algusosast ja punktist e koostoimes sama määruse artikli 6 lõike 3 teise lõiguga – piisav selleks, et need töötlemistoimingud vastaksid ka käesoleva kohtuotsuse punktis 66 meenutatud seaduslikkuse nõudele.

Sellega seoses tuleb meenutada, et maksude kogumist ja maksupettustega võitlemist tuleb pidada avalikes huvides olevateks ülesanneteks määruse 2016/679 artikli 6 lõike 1 esimese lõigu punkti e tähenduses (vt analoogia alusel 27. septembri 2017. aasta kohtuotsus Puškár, C‑73/16, EU:C:2017:725, punkt 108).

Sellest järeldub, et juhul, kui kõnealuste isikuandmete edastamine ei põhine otseselt selle aluseks oleval õigusnormil, vaid tuleneb pädeva avaliku sektori asutuse nõudest, on vaja, et selles nõudes oleks täpsustatud, mis on selle andmekogumise konkreetsed eesmärgid seoses avalikes huvides oleva ülesande täitmisega või avaliku võimu teostamisega selleks, et nõude saaja saaks veenduda, et kõnealuste isikuandmete edastamine on seaduslik, ja selleks, et liikmesriigi kohtud saaksid kontrollida nende töötlemistoimingute seaduslikkust.

72	Teiseks peavad isikuandmed määruse 2016/679 artikli 5 lõike 1 punkti c kohaselt olema asjakohased, olulised ja piiratud sellega, mis on vajalik nende töötlemise eesmärgi seisukohalt.

Sellega seoses tuleb meenutada, et väljakujunenud kohtupraktika kohaselt peavad erandid ja piirangud isikuandmete kaitse põhimõttest piirduma tingimata vajalikuga (vt selle kohta 22. juuni 2021. aasta kohtuotsus Latvijas Republikas Saeima (karistuspunktid), C‑439/19, EU:C:2021:504, punkt 110 ja seal viidatud kohtupraktika).

74	Sellest järeldub, et ka siis, kui vastutav töötleja täidab seejuures talle usaldatud avalikes huvides olevat ülesannet, ei saa ta isikuandmeid koguda üldiselt ja vahet tegemata ning ta peab hoiduma selliste andmete kogumisest, mis ei ole töötlemise eesmärkide seisukohast tingimata vajalikud.

Käesoleval juhul tuleb märkida, et nagu nähtub käesoleva kohtuotsuse punktidest 17–19, nõudis Läti maksuhaldur ettevõtjalt, et viimane esitaks talle andmed, mis on seotud selle ettevõtja veebisaidil ajavahemikul 14. juulist kuni 31. augustini 2018 avaldatud sõiduautode müügikuulutustega, ning juhul, kui juurdepääsu sellele teabele ei ole võimalik taastada, esitaks talle iga kuu kolmandaks päevaks andmed tema veebisaidil eelmisel kuul avaldatud sõiduautode müügikuulutuste kohta, ilma et viimasele nõudele oleks seatud mingit ajalist piiri.

Võttes arvesse käesoleva kohtuotsuse punktis 74 esitatud kaalutlusi, on eelotsusetaotluse esitanud kohtu ülesanne kontrollida, kas nende andmete kogumise eesmärki on võimalik saavutada ilma, et Läti maksuhaldur saaks juurdepääsu andmetele, mis on seotud kõigi selle ettevõtja veebisaidil avaldatud sõiduautode müügikuulutustega, ja eelkõige, kas on võimalik, et see asutus tooks konkreetsete kriteeriumide abil teiste hulgast esile teatud kuulutused.

77	Selles kontekstis tuleb rõhutada, et vastavalt määruse 2016/679 artikli 5 lõikes 2 sätestatud vastutuspõhimõttele peab vastutav töötleja suutma tõendada, et ta järgib selle artikli lõikes 1 sätestatud isikuandmete töötlemise põhimõtteid.

78	Seega peab Läti maksuhaldur tõendama, et ta püüdis kogutavate isikuandmete hulka vastavalt selle määruse artikli 25 lõikele 2 vähendada nii palju kui võimalik.

Seoses asjaoluga, et Läti maksuhalduri saadetud teabenõudes ei ole ette nähtud mingit ajalist piiri juhuks, kui kuulutusteteenuse osutaja ei taasta juurdepääsu taotluses osutatud ajavahemikul avaldatud kuulutustele, tuleb meeles pidada, et võimalikult väheste andmete kogumise põhimõtet silmas pidades on vastutav töötleja kohustatud piirama ka kõnealuste isikuandmete kogumise aja sellega, mis on tingimata vajalik töötlemistoimingu eesmärgi saavutamiseks.

80	Järelikult ei tohi andmete kogumise ajavahemik olla pikem kui on tingimata vaja taotletava üldist huvi teeniva eesmärgi saavutamiseks.

81	Nagu nähtub käesoleva kohtuotsuse punktist 77, lasub tõendamiskoormis selles osas Läti maksuhalduril.

82	Siiski ei võimalda asjaolu, et neid andmeid kogutakse ilma, et Läti maksuhaldur oleks teabenõudes kindlaks määranud sellise töötlemise ajalise piiri, iseenesest asuda seisukohale, et töötlemise kestus on pikem kui on tingimata vaja taotletava eesmärgi saavutamiseks.

Selles kontekstis tuleb siiski meenutada, et selleks, et oleks täidetud proportsionaalsuse nõue, mida määruse 2016/679 artikli 5 lõike 1 punkt c väljendab (vt selle kohta 22. juuni 2021. aasta kohtuotsus Latvijas Republikas Saeima (karistuspunktid), C‑439/19, EU:C:2021:504, punkt 98 ja seal viidatud kohtupraktika), peavad töötlemise aluseks olevas õigusaktis olema ette nähtud selged ja täpsed reeglid, mis reguleerivad asjaomase meetme ulatust ja kohaldamist ning millega on kehtestatud miinimumnõuded selleks, et isikutel, kelle isikuandmetega on tegu, oleks piisavad tagatised, mis võimaldavad neid andmeid kuritarvitamise ohu eest tõhusalt kaitsta. Need õigusnormid peavad olema riigisiseses õiguses õiguslikult siduvad ja eeskätt peab nendes olema märgitud, millistel asjaoludel ja tingimustel võib selliste andmete töötlemist ette nägeva meetme võtta, tagades seeläbi, et riive piirdub sellega, mis on tingimata vajalik (6. oktoobri 2020. aasta kohtuotsus Privacy International, C‑623/17, EU:C:2020:790, punkt 68 ja seal viidatud kohtupraktika).

Sellest järeldub, et liikmesriigi õigusnormid, mis reguleerivad niisugust teabenõuet, nagu on kõne all põhikohtuasjas, peavad lähtuma objektiivsetest kriteeriumidest, et määratleda asjaolud ja tingimused, mille esinemise korral on internetiteenuse osutaja kohustatud edastama oma kasutajate isikuandmeid (vt selle kohta 6. oktoobri 2020. aasta kohtuotsus Privacy International, C‑623/17, EU:C:2020:790, punkt 78 ja seal viidatud kohtupraktika).

Kõiki eeltoodud kaalutlusi arvestades tuleb kolmandale kuni üheksandale küsimusele vastata, et määruse 2016/679 sätteid tuleb tõlgendada nii, et nendega ei ole vastuolus see, kui liikmesriigi maksuhaldur paneb internetikuulutuste teenuse osutajale kohustuse edastada talle teavet maksukohustuslaste kohta, kes on avaldanud kuulutusi ühes selle teenuseosutaja veebiportaali rubriikidest tingimusel, et need andmed on vajalikud nende konkreetsete eesmärkide saavutamiseks, milleks neid kogutakse, ja et andmete kogumise ajavahemik ei ole pikem kui on tingimata vaja taotletava üldist huvi teeniva eesmärgi saavutamiseks.

Kohtukulud

86	Kuna põhikohtuasja poolte jaoks on käesolev menetlus eelotsusetaotluse esitanud kohtus pooleli oleva asja üks staadium, otsustab kohtukulude jaotuse liikmesriigi kohus. Euroopa Kohtule seisukohtade esitamisega seotud kulusid, välja arvatud poolte kohtukulud, ei hüvitata.

Esitatud põhjendustest lähtudes Euroopa Kohus (viies koda) otsustab:

Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruse (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) sätteid tuleb tõlgendada nii, et see, kui liikmesriigi maksuhaldur kogub ettevõtjalt märkimisväärset hulka isikuandmeid sisaldavat teavet, kuulub selle määruse, eelkõige selle artikli 5 lõikes 1 sätestatud nõuete kohaldamisalasse.

2.	Määruse 2016/679 sätteid tuleb tõlgendada nii, et liikmesriigi maksuhaldur ei või teha erandeid selle määruse artikli 5 lõikes 1 sätestatust, kui talle ei ole sellist õigust antud seadusandliku meetmega selle määruse artikli 23 lõike 1 tähenduses.

Määruse 2016/679 sätteid tuleb tõlgendada nii, et nendega ei ole vastuolus see, kui liikmesriigi maksuhaldur paneb internetikuulutuste teenuse osutajale kohustuse edastada talle teavet maksukohustuslaste kohta, kes on avaldanud kuulutusi ühes selle teenuseosutaja veebiportaali rubriikidest tingimusel, et need andmed on vajalikud nende konkreetsete eesmärkide saavutamiseks, milleks neid kogutakse, ja et andmete kogumise ajavahemik ei ole pikem kui on tingimata vaja taotletava üldist huvi teeniva eesmärgi saavutamiseks.

Allkirjad

( *1 ) Kohtumenetluse keel: läti.