–

Österreichische Datenschutzbehörde, asiamiehenään M. Schmidl,

–

F R, edustajanaan C. Wirthensohn, Rechtsanwalt,

–

Bundesministerin für Justiz, asiamiehenään E. Riedl,

–

Itävallan hallitus, asiamiehinään A. Posch, J. Schmoll ja C. Gabauer,

–

Tšekin hallitus, asiamiehinään M. Smolek T. Suchá ja J. Vláčil,

–

Euroopan komissio, asiamiehinään A. Bouchagiar, F. Erlbacher ja H. Kranenborg,

1

Ennakkoratkaisupyyntö koskee luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) (EUVL 2016, L 119, s. 1) 57 artiklan 4 kohdan ja 77 artiklan 1 kohdan tulkintaa.

2

Tämä pyyntö on esitetty asiassa, jossa vastakkain ovat luonnollinen henkilö F R ja Österreichische Datenschutzbehörde (tietosuojaviranomainen, Itävalta; jäljempänä tietosuojaviranomainen) ja jossa on kyse siitä, että tietosuojaviranomainen on kieltäytynyt käsittelemästä kantelua, jonka mukaan F R:n oikeutta tutustua häntä koskeviin henkilötietoihin on loukattu.

3

Yleisen tietosuoja-asetuksen johdanto-osan 10, 11, 59, 63 ja 129 perustelukappaleessa todetaan seuraavaa:

– –

– –

– –

4

Yleisen tietosuoja-asetuksen 12 artiklan, jonka otsikko on ”Läpinäkyvä informointi, viestintä ja yksityiskohtaiset säännöt rekisteröidyn oikeuksien käyttöä varten”, 2 ja 5 kohdassa säädetään seuraavaa:

”2.   Rekisterinpitäjän on helpotettava 15–22 artiklan mukaisten rekisteröidyn oikeuksien käyttämistä. Edellä 11 artiklan 2 kohdassa tarkoitetuissa tapauksissa rekisterinpitäjä ei saa kieltäytyä toimimasta rekisteröidyn pyynnöstä tämän 15–22 artiklan mukaisten oikeuksien käyttämiseksi, ellei rekisterinpitäjä osoita, ettei se pysty tunnistamaan rekisteröityä.

– –

5.   Jäljempänä olevan 13 ja 14 artiklan nojalla toimitetut tiedot ja kaikki 15–22 ja 34 artiklaan perustuvat tiedot ja toimenpiteet ovat maksuttomia. Jos rekisteröidyn pyynnöt ovat ilmeisen perusteettomia tai kohtuuttomia, erityisesti jos niitä esitetään toistuvasti, rekisterinpitäjä voi joko

Näissä tapauksissa rekisterinpitäjän on osoitettava pyynnön ilmeinen perusteettomuus tai kohtuuttomuus.”

5

Yleisen tietosuoja-asetuksen 15 artiklan, jonka otsikko on ”Rekisteröidyn oikeus saada tutustua tietoihin”, 1 kohdassa säädetään seuraavaa:

”Rekisteröidyllä on oikeus saada rekisterinpitäjältä vahvistus siitä, käsitelläänkö häntä koskevia henkilötietoja, ja jos näitä henkilötietoja käsitellään, oikeus saada tutustua henkilötietoihin sekä saada seuraavat tiedot:

– –

– –”

6

Yleisen tietosuoja-asetuksen 52 artiklan, jonka otsikko on ”Riippumattomuus”, 4 kohdassa säädetään seuraavaa:

”Kunkin jäsenvaltion on varmistettava, että jokaiselle valvontaviranomaiselle osoitetaan tekniset, taloudelliset ja henkilöresurssit, tilat ja infrastruktuuri, jotka ovat tarpeen tehtävien suorittamiseksi ja valtuuksien käyttämiseksi tehokkaasti, mukaan lukien tehtävät ja valtuudet, jotka liittyvät keskinäiseen avunantoon, yhteistyöhön ja osallistumiseen tietosuojaneuvoston toimintaan.”

7

Yleisen tietosuoja-asetuksen 57 artiklassa, jonka otsikko on ”Tehtävät”, säädetään seuraavaa:

”1.   Tämän asetuksen mukaisesti vahvistettuja muita tehtäviä rajoittamatta jokaisen valvontaviranomaisen on alueellaan

– –

– –

2.   Kaikkien valvontaviranomaisten on helpotettava 1 kohdan f alakohdassa tarkoitettujen [kantelujen] jättämistä toimenpitein, kuten antamalla mahdollisuuden käyttää [kantelulomaketta], joka voidaan täyttää myös sähköisesti, muita mahdollisia viestintäkeinoja pois sulkematta.

3.   Minkään valvontaviranomaisten tehtävien suorittamisesta ei aiheudu kustannuksia rekisteröidylle eikä tapauksen mukaan tietosuojavastaavalle.

4.   Jos pyynnöt ovat ilmeisen perusteettomia tai kohtuuttomia, erityisesti siitä syystä, että niitä esitetään toistuvasti, valvontaviranomainen voi periä niistä hallinnollisiin kustannuksiin perustuvan kohtuullisen maksun tai kieltäytyä suorittamasta pyydettyä toimea. Valvontaviranomaisen on osoitettava pyynnön ilmeinen perusteettomuus tai kohtuuttomuus.”

8

Tietosuoja-asetuksen 77 artiklan, jonka otsikko on ”Oikeus tehdä kantelu valvontaviranomaiselle”, 1 kohdassa säädetään seuraavaa:

”Jokaisella rekisteröidyllä on oikeus tehdä kantelu valvontaviranomaiselle, erityisesti siinä jäsenvaltiossa, jossa hänen vakinainen asuinpaikkansa tai työpaikkansa on taikka jossa väitetty rikkominen on tapahtunut, jos rekisteröity katsoo, että häntä koskevien henkilötietojen käsittelyssä rikotaan tätä asetusta, sanotun kuitenkaan rajoittamatta muita hallinnollisia muutoksenhakukeinoja tai oikeussuojakeinoja.”

9

Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä 17.8.1999 annetun liittovaltion lain (Bundesgesetz zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten; BGBl. I, 165/1999), sellaisena kuin sitä sovelletaan pääasian tosiseikkoihin, 24 §:n, jonka otsikko on ”Tietosuojaviranomaiselle tehdyt kantelut”, 1, 5 ja 8 momentissa säädetään seuraavaa:

”(1)   Jokaisella rekisteröidyllä on oikeus tehdä kantelu Datenschutzbehördelle, jos rekisteröity katsoo, että häntä koskevien henkilötietojen käsittelyssä rikotaan yleistä tietosuoja-asetusta taikka 1 §:ää tai 2 artiklaan sisältyvää ensimmäistä pääosastoa.

– –

(5)   Mikäli kantelu osoittautuu perustelluksi, se on hyväksyttävä. Jos on katsottava, että rikkominen johtuu yksityisestä rekisterinpitäjästä, on annettava sen tehtäväksi vastata kantelijan pyyntöihin, jotka koskevat tietoja, oikaisuja, rekisteristä poistamista, rajoituksia tai tiedonsiirtoa, siinä laajuudessa kuin on tarpeen todetun oikeuksien loukkauksen korjaamiseksi. Mikäli kantelu ei osoittaudu perustelluksi, se on hylättävä.

– –

(8)   Rekisteröity voi saattaa asian hallintotuomioistuimen käsiteltäväksi, jos tietosuojaviranomainen ei käsittele kantelua tai ei ilmoita rekisteröidylle kantelun etenemisestä tai ratkaisusta kolmen kuukauden määräajassa.”

10

F R teki 17.2.2020 tietosuojaviranomaiselle yleisen tietosuoja-asetuksen 77 artiklan 1 kohdan mukaisen kantelun saman asetuksen 15 artiklan loukkaamisesta sillä perusteella, että rekisterinpitäjänä oleva yhtiö ei vastannut hänen tiedonsaantipyyntöönsä kuukauden kuluessa.

11

Tietosuojaviranomainen kieltäytyi 22.4.2020 tekemällään päätöksellä käsittelemästä kantelua yleisen tietosuoja-asetuksen 57 artiklan 4 kohdan nojalla pitäen sitä ”kohtuuttomana”. Se pani merkille etenkin, että F R oli tehnyt sille noin 20 kuukauden sisällä 77 samankaltaista kantelua eri rekisterinpitäjiä vastaan. F R oli ottanut tietosuojaviranomaiseen säännöllisesti yhteyttä myös puhelimitse ilmoittaakseen lisäseikkoja ja tehdäkseen mahdollisia muita pyyntöjä.

12

F R valitti päätöksestä Bundesverwaltungsgerichtiin (liittovaltion hallintotuomioistuin, Itävalta).

13

Kyseinen tuomioistuin hyväksyi valituksen 22.12.2022 antamallaan tuomiolla ja kumosi tietosuojaviranomaisen päätöksen. Mainittu tuomioistuin totesi pääasiallisesti, että pyynnön kohtuuttomana pitäminen yleisen tietosuoja-asetuksen 57 artiklan 4 kohdassa tarkoitetussa merkityksessä edellyttää paitsi pyyntöjen toistuvuutta myös sitä, että niitä esitetään ilmeisessä kiusanteko- tai väärinkäyttötarkoituksessa. Tietosuojaviranomaisen perustelusta kieltäytyä F R:n kantelun käsittelystä ei kuitenkaan ilmene, että F R olisi menetellyt väärinkäyttötarkoituksessa. Saman tuomioistuimen mukaan kohtuuttomia pyyntöjä saadessaan tietosuojaviranomainen ei myöskään voi valita mielensä mukaan tässä säännöksessä säädettyjen kahden vaihtoehdon välillä eli kohtuullisen maksun perimisen tai pyyntöjen käsittelystä kieltäytymisen välillä. Valinta näiden vaihtoehtojen välillä kuuluu vapaaseen harkintaan, jonka käyttö tietosuojaviranomaisen on perusteltava. Tällaista perustelua ei ole kuitenkaan tässä asiassa esitetty.

14

Tietosuojaviranomaisen tehtyä tästä tuomiosta Revision-valituksen Verwaltungsgerichtshof (ylin hallintotuomioistuin, Itävalta), joka on ennakkoratkaisua pyytänyt tuomioistuin, tiedustelee ensinnäkin, kattaako yleisen tietosuoja-asetuksen 57 artiklan 4 kohdassa tarkoitetun ”pyynnön” käsite saman asetuksen 77 artiklan 1 kohdan nojalla tehdyt kantelut.

15

Ennakkoratkaisua pyytänyt tuomioistuin toteaa tältä osin, että ”pyynnön” käsitettä tosin käytetään yleisen tietosuoja-asetuksen 57 artiklan 1 kohdassa olevassa valvontaviranomaisten tehtävien luettelossa yksinomaan sen e alakohdassa kuvaamaan rekisteröityjen näille viranomaisille osoittamia tiedonsaantipyyntöjä, jotka koskevat tässä asetuksessa heille annettujen oikeuksien käyttämistä. Tästä ei kuitenkaan voida päätellä, että mainitun asetuksen 57 artiklan 4 kohtaa voitaisiin soveltaa ainoastaan tällaisten pyyntöjen käsittelyyn. Päinvastoin, viimeksi mainitun säännöksen, jossa säädetään poikkeuksesta maksuttomuuden periaatteeseen, asiayhteydestä voidaan pikemminkin päätellä, että siinä tarkoitettu käsite ”pyyntö” kattaa myös kantelut, koska niiden käsittely on valvontaviranomaisten päätehtävä ja koska nämä viranomaiset on tarpeen vapauttaa ilmeisen perusteettomien tai kohtuuttomien kantelujen käsittelystä.

16

Ennakkoratkaisua pyytäneen tuomioistuimen mukaan tällaisesta tulkinnasta kuitenkin seuraisi, että valvontaviranomaisille yleisen tietosuoja-asetuksen 57 artiklan 1 kohdan f alakohdan nojalla kuuluvaa velvollisuutta käsitellä kanteluja rajoitettaisiin, ja se voisi olla ristiriidassa kyseisen asetuksen tavoitteiden kanssa, erityisesti sen tavoitteen kanssa, joka koskee luonnollisten henkilöiden korkeatasoisen suojelun varmistamista henkilötietojen käsittelyssä unionissa.

17

Ennakkoratkaisua pyytänyt tuomioistuin katsoo kuitenkin, että jos tällainen tulkinta hyväksyttäisiin, yleisen tietosuoja-asetuksen 57 artiklan 4 kohdassa kantelun tekemistä koskevalle oikeudelle asetettu rajoitus olisi oikeasuhteinen. Tämän säännöksen soveltaminen edellyttäisi nimittäin, että valvontaviranomainen esittää näytön kantelun ilmeisestä perusteettomuudesta tai kohtuuttomuudesta. Lisäksi kyseisen viranomaisen päätös periä kohtuullinen maksu tai kieltäytyä kantelun käsittelystä kuuluu asetuksen 78 artiklan 1 kohdassa tarkoitetun tuomioistuinvalvonnan piiriin.

18

Toiseksi siinä tapauksessa, että yleisen tietosuoja-asetuksen 57 artiklan 4 kohtaa olisi tulkittava siten, että sitä sovelletaan kyseisen asetuksen 77 artiklan 1 kohdassa tarkoitettuihin kanteluihin, ennakkoratkaisua pyytänyt tuomioistuin pohtii mainitun asetuksen 57 artiklan 4 kohdassa tarkoitetun käsitteen ”kohtuuton pyyntö” ulottuvuutta. Tuomioistuin toteaa erityisesti, että vaikka kyseisessä säännöksessä mainitaan nimenomaisesti esimerkkinä ”kohtuuttomista pyynnöistä””toistuvat pyynnöt”, on kuitenkin niin, että poikkeuksena jokaisen valvontaviranomaisen velvollisuudesta käsitellä kanteluita mahdollisuutta kieltäytyä käsittelemästä kantelua on tulkittava suppeasti, koska tämä mahdollisuus heikentää merkittävästi yleisessä tietosuoja-asetuksessa luonnollisille henkilöille henkilötietojen käsittelyssä säädettyä suojaa ja poikkeaisi siten asetuksen tavoitteista.

19

Ennakkoratkaisua pyytänyt tuomioistuin pyrkii tässä yhteydessä selvittämään, riittääkö valvontaviranomaiselle tiettynä ajanjaksona tehtyjen kantelujen lukumäärä sen toteamiseen, että kantelu on kohtuuton, kullekin yksittäiselle kantelulle ominaisista olosuhteista riippumatta ja ottamatta huomioon rekisterinpitäjiä, joita kantelut koskevat, vai onko otettava huomioon muita seikkoja, joiden perusteella voitaisiin todeta, että on kyse väärinkäytöstä.

20

Kolmanneksi ennakkoratkaisua pyytänyt tuomioistuin katsoo, että yleisen tietosuoja-asetuksen 57 artiklan 4 kohdan soveltaminen herättää kysymyksiä myös niiden oikeudellisten seurausten osalta, joita ilmeisen perusteettomiin tai kohtuuttomiin pyyntöihin on liitettävä. Kyseisen säännöksen sanamuodosta ei nimittäin ilmene selvästi, voivatko valvontaviranomaiset valita vapaasti jommankumman siinä säädetyistä vaihtoehdoista eli periä kohtuullisen maksun kantelun käsittelystä tai kieltäytyä heti käsittelemästä kantelua. Ennakkoratkaisua pyytänyt tuomioistuin korostaa, että oikeuskirjallisuudessa on tältä osin erimielisyyttä.

21

Tässä tilanteessa Verwaltungsgerichtshof on päättänyt lykätä asian käsittelyä ja esittää unionin tuomioistuimelle seuraavat ennakkoratkaisukysymykset:

Mikäli ensimmäiseen kysymykseen vastataan myöntävästi:

22

Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee ensimmäisellä kysymyksellään, onko yleisen tietosuoja-asetuksen 57 artiklan 4 kohtaa tulkittava siten, että siihen sisältyvä pyynnön käsite kattaa kyseisen asetuksen 77 artiklan 1 kohdassa tarkoitetut kantelut.

23

Aluksi on todettava, että kantelun käsite sisältyy myös yleisen tietosuoja-asetuksen 57 artiklan 1 kohdan f alakohtaan. Jotta ennakkoratkaisua pyytäneelle tuomioistuimelle voidaan antaa hyödyllinen vastaus, on näin ollen katsottava, että kyseinen tuomioistuin tiedustelee ensimmäisellä kysymyksellään lähinnä, onko kyseisen asetuksen 57 artiklan 4 kohtaa tulkittava siten, että siihen sisältyvä pyynnön käsite kattaa mainitun asetuksen 57 artiklan 1 kohdan f alakohdassa ja 77 artiklan 1 kohdassa tarkoitetut kantelut.

24

Unionin oikeuden säännöksen tai määräyksen tulkitsemisessa on otettava huomioon paitsi sen sanamuoto sen tavanomaisen merkityksen mukaisesti, joka sillä on yleiskielessä, myös sen asiayhteys ja sillä lainsäädännöllä tavoitellut päämäärät, jonka osa se on (tuomio 4.5.2023, Österreichische Datenschutzbehörde ja CRIF, C‑487/21, EU:C:2023:369, 19 kohta oikeuskäytäntöviittauksineen, tuomio 7.12.2023, SCHUFA Holding (Jäännösveloista vapauttaminen),C‑26/22 ja C‑64/22, EU:C:2023:958, 48 kohta oikeuskäytäntöviittauksineen ja tuomio 30.4.2024, Trade Express-L ja DEVNIA TSIMENT, C‑395/22 ja C‑428/22, EU:C:2024:374, 65 kohta oikeuskäytäntöviittauksineen).

25

Ensinnäkin yleisen tietosuoja-asetuksen 57 artiklan 1 kohdan f alakohdan sanamuodosta on todettava, että siinä säädetään, että jokaisen valvontaviranomaisen on alueellaan ”käsiteltävä rekisteröidyn – –tekemiä [kanteluja] ja tutkittava siinä määrin kuin se on asianmukaista [kantelun] kohdetta ja ilmoitettava [kantelun] tekijälle tutkinnan etenemisestä sekä tutkinnan tuloksista kohtuullisen ajan kuluessa, erityisesti jos asia edellyttää lisätutkimuksia tai koordinointia toisen valvontaviranomaisen kanssa”.

26

Yleisen tietosuoja-asetuksen 57 artiklan 4 kohdassa puolestaan säädetään, että ”jos pyynnöt ovat ilmeisen perusteettomia tai kohtuuttomia, erityisesti siitä syystä, että niitä esitetään toistuvasti, valvontaviranomainen voi periä niistä hallinnollisiin kustannuksiin perustuvan kohtuullisen maksun tai kieltäytyä suorittamasta pyydettyä toimea” ja että ”valvontaviranomaisen on osoitettava pyynnön ilmeinen perusteettomuus tai kohtuuttomuus”.

27

Yleisen tietosuoja-asetuksen 77 artiklan 1 kohdassa puolestaan säädetään, että ”jokaisella rekisteröidyllä on oikeus tehdä kantelu valvontaviranomaiselle, erityisesti siinä jäsenvaltiossa, jossa hänen vakinainen asuinpaikkansa tai työpaikkansa on taikka jossa väitetty rikkominen on tapahtunut, jos rekisteröity katsoo, että häntä koskevien henkilötietojen käsittelyssä rikotaan tätä asetusta, sanotun kuitenkaan rajoittamatta muita hallinnollisia muutoksenhakukeinoja tai oikeussuojakeinoja”.

28

Näin ollen missään tämän tuomion 25–27 kohdassa mainituista säännöksistä ei määritellä nimenomaisesti yleisen tietosuoja-asetuksen 57 artiklan 4 kohdassa tarkoitettua pyynnön käsitettä.

29

Tältä osin on huomattava, että – kuten julkisasiamies on ratkaisuehdotuksensa 23 kohdassa todennut – käsite "pyyntö" on sen tavanomaisessa yleiskielisessä merkityksessä erityisen laaja, koska se pitää sisällään mahdollisesti kaikki henkilön tai yhteisön tekemät pyynnöt.

30

On siis todettava, että tämän tuomion 25–27 kohdassa tarkoitettujen säännösten sanamuodon perusteella voidaan katsoa, että yleisen tietosuoja-asetuksen 77 artiklan 1 kohdan nojalla tehdyt kantelut kuuluvat kyseisen asetuksen 57 artiklan 4 kohdassa tarkoitetun pyynnön käsitteen alaan.

31

Tätä sanamuotoon perustuvaa arviointia tukee toiseksi asiayhteys, johon kyseiset säännökset kuuluvat. Tältä osin yleisen tietosuoja-asetuksen 57 artiklassa kuvataan valvontaviranomaisille kuuluvat tehtävät ja vahvistetaan edellytykset, joiden täyttyessä ne on suoritettava. Niinpä on todettava erityisesti, että kyseisen 57 artiklassa säädetään ensiksi sen 1 kohdan a alakohdassa, että jokaisen valvontaviranomaisen on valvottava tämän asetuksen soveltamista ja täytäntöönpanoa, toiseksi sen 1 kohdan e alakohdassa, että jokaisen valvontaviranomaisen on annettava pyynnöstä rekisteröidyille tietoja niille kyseisen asetuksen mukaan kuuluvien oikeuksien käytöstä ja tarvittaessa tehtävä yhteistyötä muiden jäsenvaltioiden viranomaisten kanssa tätä tarkoitusta varten, ja kolmanneksi sen 2 kohdassa, että jokaisen valvontaviranomaisen on helpotettava 1 kohdan f alakohdassa tarkoitettujen kantelujen jättämistä toimenpitein, kuten antamalla mahdollisuuden käyttää kantelulomaketta, joka voidaan täyttää myös sähköisesti, muita mahdollisia viestintäkeinoja pois sulkematta.

32

Lisäksi yleisen tietosuoja-asetuksen 57 artiklan 3 kohdassa vahvistetaan periaate, jonka mukaan minkään valvontaviranomaisen tehtävien suorittamisesta ei aiheudu kustannuksia rekisteröidylle eikä tapauksen mukaan tietosuojavastaavalle.

33

Kun kyseisen asetuksen 57 artiklan 4 kohdassa säädetään siitä, että saadessaan ilmeisen perusteettomia tai kohtuuttomia pyyntöjä valvontaviranomaiset voivat periä hallinnollisiin kustannuksiin perustuvan kohtuullisen maksun tai kieltäytyä suorittamasta pyydettyä toimea, siinä otetaan näin ollen käyttöön poikkeus 57 artiklan 3 kohdassa säädetystä maksuttomuuden periaatteesta, jota on tulkittava suppeasti.

34

Kuten julkisasiamies on ratkaisuehdotuksensa 28–30 kohdassa pääasiallisesti todennut, koska pääsääntönä on, että valvontaviranomaiset käsittelevät niille esitetyt pyynnöt, näillä viranomaisilla olisi näin ollen oltava valtuudet käyttää yleisen tietosuoja-asetuksen 57 artiklan 4 kohdassa säädettyä mahdollisuutta vain poikkeustapauksissa.

35

Näistä säännöksistä ei kuitenkaan voida päätellä, että yleisen tietosuoja-asetuksen 57 artiklan 4 kohtaa, siltä osin kuin siinä käytetään pyynnön käsitettä, pitäisi soveltaa vain kyseisen asetuksen 57 artiklan 1 kohdan e alakohdassa tarkoitettuihin pyyntöihin. Mainitun asetuksen 57 artiklan 3 kohtaa sovelletaan nimittäin kaikkiin valvontaviranomaisen tehtäviin, mukaan lukien saman asetuksen 57 artiklan 1 kohdan f alakohdassa säädetty kantelujen käsittely.

36

Tässä yhteydessä on niin, että koska yleisen tietosuoja-asetuksen 57 artiklan 4 kohdassa säädetään poikkeuksesta valvontaviranomaisten suorittamien tehtävien maksuttomuuden periaatteeseen rajoittamatta sitä näiden valvontaviranomaisten tiettyihin erityistehtäviin, sitä olisi sovellettava myös kyseisen asetuksen 57 artiklan 1 kohdan f alakohdassa säädettyyn kantelujen käsittelyyn, varsinkin kun viimeksi mainittu tehtävä on mainittujen valvontaviranomaisten keskeinen tehtävä. Lisäksi asianomaisen valvontaviranomaisen asiana on tutkia tällaiset kantelut kaikkea asianmukaista huolellisuutta noudattaen (tuomio 7.12.2023, SCHUFA Holding (Jäännösveloista vapauttaminen), C‑26/22 ja C‑64/22, EU:C:2023:958, 56 kohta oikeuskäytäntöviittauksineen).

37

Sitä vastoin tulkinta, jonka mukaan yleisen tietosuoja-asetuksen 57 artiklan 4 kohtaan sisältyvä pyynnön käsite kattaa ainoastaan kyseisen asetuksen 57 artiklan 1 kohdan e alakohdan soveltamisalaan kuuluvat pyynnöt eikä mainitun asetuksen 57 artiklan 1 kohdan f alakohdassa ja 77 artiklan 1 kohdassa tarkoitettuja kanteluja, veisi suuren osan ensin mainitun säännöksen tehokkaasta vaikutuksesta ja olisi vastoin samalla asetuksella taattujen oikeuksien tosiasiallista suojaa (ks. vastaavasti tuomio 12.1.2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, 47 kohta).

38

Kolmanneksi tämä asiayhteyteen perustuva tulkinta on yleisen tietosuoja-asetuksen tavoitteiden mukainen. Tältä osin on todettava, että kyseisen asetuksen tarkoituksena on sen johdanto-osan 10 ja 11 perustelukappaleessa todetuin tavoin varmistaa yhdenmukainen ja korkeatasoinen luonnollisten henkilöiden suojelu unionissa sekä vahvistaa ja täsmentää rekisteröityjen oikeuksia (tuomio 26.10.2023, FT (Jäljennökset potilasasiakirjoista), C‑307/22, EU:C:2023:811, 47 kohta).

39

Kantelumenettely on näin ollen tarkoitettu mekanismiksi, jolla voidaan suojella tehokkaasti rekisteröityjen oikeuksia ja etuja (tuomio 7.12.2023, SCHUFA Holding (Jäännösveloista vapauttaminen), C‑26/22 ja C‑64/22, EU:C:2023:958, 58 kohta oikeuskäytäntöviittauksineen). Tältä osin yleisen tietosuoja-asetuksen 57 artiklan 2 ja 3 kohdassa säädetyn valvontaviranomaisten velvollisuuden helpottaa kantelujen jättämistä ja tehtävien, jotka niiden on suoritettava, maksuttomuuden periaatteen tarkoituksena on se, että jokainen rekisteröity voi vaatia valvontaviranomaiselta, että hänen tähän asetukseen perustuvia oikeuksiaan kunnioitetaan.

40

Kuten julkisasiamies totesi ratkaisuehdotuksensa 41 kohdassa, luonnollisten henkilöiden johdonmukaisen ja korkeatasoisen suojelun varmistamista unionissa koskevaan tavoitteeseen pääsy edellyttää valvontaviranomaisten toiminnan moitteettoman sujumisen varmistamista siten, ettei sitä vaikeuteta yleisen tietosuoja-asetuksen 57 artiklan 4 kohdassa tarkoitetuilla ilmeisen perusteettomilla tai kohtuuttomilla kanteluilla. Säännöksen turvin valvontaviranomaiset voivat hallinnoida kanteluja paremmin ja keventää niiden käsittelystä mahdollisesti aiheutuvaa työtaakkaansa. Tältä osin silloin, kun valvontaviranomaiselle tehdään ilmeisen perusteettomia tai kohtuuttomia kanteluja, mahdollisuus periä kohtuullinen maksu tai kieltäytyä tällaisten kantelujen käsittelystä on omiaan varmistamaan henkilötietojen suojan korkean tason.

41

Edellä esitetyn perusteella ensimmäiseen kysymykseen on vastattava, että yleisen tietosuoja-asetuksen 57 artiklan 4 kohtaa on tulkittava siten, että siihen sisältyvä käsite ”pyyntö” kattaa kyseisen asetuksen 57 artiklan 1 kohdan f alakohdassa ja 77 artiklan 1 kohdassa tarkoitetut kantelut.

42

Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee toisella kysymyksellään lähinnä, onko yleisen tietosuoja-asetuksen 57 artiklan 4 kohtaa tulkittava siten, että pelkästään pyyntöjen suuri määrä voi riittää pitämään niitä ”kohtuuttomina” kyseisessä säännöksessä tarkoitetussa merkityksessä, vai edellyttääkö tällainen luonnehdinta lisäksi, että pyynnöt esittäneellä henkilöllä on ollut väärinkäyttötarkoitus.

43

Tältä osin on ensinnäkin todettava, että koska käsitettä ”kohtuuttomat pyynnöt” ei määritellä yleisessä tietosuoja-asetuksessa, tämän tuomion 24 kohdassa mainitun oikeuskäytännön valossa on syytä viitata käsitteen tavanomaiseen yleiskieliseen merkitykseen. Adjektiivilla ”kohtuuton” tarkoitetaan tavanomaisen tai kohtuullisen mittasuhteen ylittävää tai toivottavan tai sallitun mittasuhteen ylittävää.

44

Toiseksi yleisen tietosuoja-asetuksen 57 artiklan 4 kohdan sanamuodosta ilmenee, että pyynnöt voivat olla ”kohtuuttomia” erityisesti siitä syystä, että niitä esitetään toistuvasti. Tämän säännöksen sananmukaisen tulkinnan perusteella ei kuitenkaan voida määrittää, riittääkö tällainen toistuvuus ja näin ollen tehtyjen pyyntöjen pelkkä lukumäärä oikeuttamaan tällaisen luonnehdinnan. Kun otetaan huomioon tämä oikeuskäytäntö, mainitun säännöksen ulottuvuutta on näin ollen tutkittava sen asiayhteyden, johon se kuuluu, ja niiden tavoitteiden mukaan, joihin pyritään asetuksella.

45

Tästä asiayhteydestä on ensiksi huomattava, että yleisen tietosuoja-asetuksen 12 artiklassa säädetään informoinnin ja viestinnän läpinäkyvyyttä koskevista rekisterinpitäjän yleisistä velvollisuuksista ja vahvistetaan rekisteröidyn oikeuksien käyttöä koskevat yksityiskohtaiset säännöt. Kyseisen artiklan 2 kohdan ensimmäisen virkkeen mukaan rekisterinpitäjän on helpotettava mainitun asetuksen 15–22 artiklan mukaisten rekisteröidyn oikeuksien käyttämistä.

46

Toiseksi yleisen tietosuoja-asetuksen III luvun 2 jaksoon, joka koskee tietojen toimittamista ja henkilötietoihin pääsyä, sisältyvä 15 artikla täydentää asetuksen läpinäkyvyyden puitteita antaessaan rekisteröidylle oikeuden päästä henkilötietoihinsa ja oikeuden saada tietoja henkilötietojensa käsittelystä.

47

Yleisen tietosuoja-asetuksen 15 artiklaa on luettava kyseisen asetuksen johdanto-osan 63 perustelukappaleen ensimmäisen virkkeen valossa, jonka mukaan rekisteröidyllä olisi oltava oikeus saada pääsy henkilötietoihin, joita hänestä on kerätty, sekä mahdollisuus käyttää tätä oikeutta vaivattomasti ja kohtuullisin väliajoin, jotta hän voi pysyä perillä käsittelyn lainmukaisuudesta ja tarkistaa sen. Jos rekisteröity on esittänyt useita tiedonsaantipyyntöjä yhdelle tai useammalle rekisterinpitäjälle saamatta tietoja, valvontaviranomaiselle tehtyjen kantelujen määrä voisi olla sama kuin näiden rekisterinpitäjien mainittuun henkilöön kohdistamien kieltäytymisten määrä. Näin ollen sellaisen absoluuttisen raja-arvon vahvistaminen, jonka ylittyessä mainittuja kanteluja voitaisiin automaattisesti pitää kohtuuttomina, voisi loukata mainitussa asetuksessa taattuja oikeuksia.

48

Kuten tämän tuomion 33, 34 ja 36 kohdassa on todettu, yleisen tietosuoja-asetuksen 57 artiklan 4 kohdassa säädetyn mahdollisuuden käyttämisen on siis oltava poikkeuksellista, koska se on poikkeus kyseisen asetuksen 57 artiklan 3 kohdassa säädetystä valvontaviranomaisten suorittamien tehtävien maksuttomuutta koskevasta periaatteesta (ks. analogisesti tuomio 5.4.2022, Commissioner of An Garda Síochána ym., C‑140/20, EU:C:2022:258, 40 kohta ja tuomio 8.11.2022, Deutsche Umwelthilfe (Moottoriajoneuvojen tyyppihyväksyntä),C‑873/19, EU:C:2022:857, 87 kohta oikeuskäytäntöviittauksineen). Sitä voidaan soveltaa vain, jos oikeutta on käytetty väärin (ks. analogisesti tuomio 26.10.2023, FT (Jäljennökset potilasasiakirjoista),C‑307/22, EU:C:2023:811, 31 kohta), eikä tehtyjen kantelujen määrä yksinään voi olla riittävä peruste tällaisen väärinkäytön toteamiseksi.

49

Yleisen tietosuoja-asetuksen 57 artiklan 4 kohta heijastaa nimittäin unionin tuomioistuimen vakiintunutta oikeuskäytäntöä, jonka mukaan unionin oikeudessa on yleinen oikeusperiaate, jonka mukaan yksityiset eivät saa vedota unionin oikeussääntöihin vilpillisesti tai väärinkäyttönä pidettävällä tavalla (tuomio 21.12.2023, BMW Bank ym.,C‑38/21, C‑47/21 ja C‑232/21, EU:C:2023:1014, 281 kohta oikeuskäytäntöviittauksineen).

50

Kun kyseinen valvontaviranomainen aikoo tässä yhteydessä käyttää yleisen tietosuoja-asetuksen 57 artiklan 4 kohdan tarjoamaa mahdollisuutta, sen on kunkin tapauksen kaikki merkitykselliset olosuhteet huomioon ottaen osoitettava, että kyseisellä henkilöllä on väärinkäyttötarkoitus, eikä kyseisen henkilön tekemien kantelujen määrä yksinään ole riittävää. Väärinkäyttötarkoitus voidaan todeta silloin, kun henkilö tekee kanteluja ilman, että se on objektiivisesti tarpeen hänen kyseiseen asetukseen perustuvien oikeuksiensa suojaamiseksi.

51

Tältä osin on vielä muistutettava, että yleisen tietosuoja-asetuksen 52 artiklan 4 kohdan nojalla jäsenvaltioiden on varmistettava, että jokaiselle valvontaviranomaiselle osoitetaan tekniset, taloudelliset ja henkilöresurssit, tilat ja infrastruktuuri, jotka ovat tarpeen tehtävien suorittamiseksi ja valtuuksien käyttämiseksi tehokkaasti. Tämän vuoksi nämä resurssit on mukautettava siihen, miten rekisteröidyt käyttävät oikeuttaan tehdä kanteluja valvontaviranomaisille.

52

Näin ollen jäsenvaltioiden on annettava valvontaviranomaisille keinot, jotka on mukautettu kaikkien niiden käsiteltäväksi saatettujen kantelujen käsittelyyn, tarvittaessa lisäämällä näitä keinoja niiden mukauttamiseksi siihen, miten rekisteröidyt käyttävät oikeuttaan tehdä kanteluja yleisen tietosuoja-asetuksen 77 artiklan 1 kohdan nojalla. Valvontaviranomainen ei näin ollen voi kieltäytyä käsittelemästä kanteluja kyseisen asetuksen 57 artiklan 4 kohdan nojalla sillä perusteella, että henkilö, joka tekee kanteluja huomattavasti enemmän kuin kunkin rekisteröidyn keskimääräinen kantelujen määrä, käyttää merkittävällä tavalla kyseisen viranomaisen resursseja muiden henkilöiden tekemien kantelujen käsittelyn vahingoksi.

53

Lisäksi on niin, että – kuten julkisasiamies on todennut ratkaisuehdotuksensa 76 kohdassa – yleisen tietosuoja-asetuksen 77 artiklan 1 kohtaan perustuvilla kanteluilla on tärkeä osa siinä, että valvontaviranomaiset saavat tietää asetuksella suojattujen oikeuksien loukkauksista. Kanteluilla edistetään siten merkittävästi henkilöiden yhdenmukaisen ja korkeatasoisen suojelun varmistamista unionissa sekä rekisteröityjen oikeuksien vahvistamista ja täsmentämistä mainitun asetuksen johdanto-osan 10 ja 11 perustelukappaleessa tarkoitetulla tavalla.

54

Näin ollen se, että valvontaviranomaiset voisivat todeta kantelut kohtuuttomiksi pelkästään sillä perusteella, että niiden määrä on huomattava, vaarantaisi tämän tavoitteen saavuttamisen. Kantelujen suuri määrä voi nimittäin olla suora seuraus siitä, että yksi tai useampi rekisterinpitäjä on jättänyt vastaamatta henkilön oikeuksiensa suojelemiseksi esittämiin tietopyyntöihin tai kieltäytynyt vastaamasta niihin.

55

Kantelujen lukumäärän huomioon ottaminen asiayhteydestä irrotettuna voisi merkitä mielivaltaista puuttumista rekisteröidyn yleiseen tietosuoja-asetukseen perustuviin oikeuksiin, joten kyseisen asetuksen 57 artiklan 4 kohdassa tarkoitettuina kohtuuttomina pyyntöinä pitämisen edellytykseksi on asetettava se, että näytetään toteen kantelujen tekijän väärinkäyttötarkoitus.

56

Lukuisia kanteluita käsittelevän valvontaviranomaisen tehtävänä on siis osoittaa kullekin tapaukselle ominaisten seikkojen perusteella, ettei kantelujen määrä selity rekisteröidyn pyrkimyksellä saada suojaa yleisen tietosuoja-asetuksen perusteella hänelle kuuluville oikeuksille vaan jollakin muulla oikeussuojaan liittymättömällä päämäärällä. Tämä pätee etenkin silloin, kun asian olosuhteista käy ilmi, että lukuisilla kanteluilla on tarkoitus haitata valvontaviranomaisen toiminnan moitteetonta sujumista kuluttamalla tämän resursseja väärinkäyttötarkoituksessa.

57

Henkilön tekemien kantelujen runsaus voi olla osoitus kohtuuttomista pyynnöistä, jos näyttää, ettei kanteluja voida objektiivisesti perustella tälle henkilölle yleisen tietosuoja-asetuksen perusteella kuuluvien oikeuksien suojaan liittyvillä syillä. Tällainen tilanne voi olla esimerkiksi silloin, kun henkilö tekee valvontaviranomaiselle niin paljon kanteluita lukuisista eri rekisterinpitäjistä, joihin hänellä ei ole välttämättä yhteyttä, että tämänkaltaisesta kanteluoikeuden kohtuuttomasta käytöstä ilmenee yhdessä muiden seikkojen, kuten kantelujen sisällön ohella, hänen aikomuksensa lamaannuttaa valvontaviranomaisen työ lukuisilla pyynnöillään.

58

Esillä olevassa asiassa ennakkoratkaisua pyytäneen tuomioistuimen tehtävänä on selvittää, onko tietosuojaviranomainen osoittanut rekisteröidyn väärinkäyttötarkoituksen olemassaolon, eikä hänen kantelujensa lukumäärä voi yksistään oikeuttaa käyttämään yleisen tietosuoja-asetuksen 57 artiklan 4 kohdassa säädettyä mahdollisuutta.

59

Edellä esitetyn perusteella toiseen kysymykseen on vastattava, että yleisen tietosuoja-asetuksen 57 artiklan 4 kohtaa on tulkittava siten, että pyyntöjä ei voida pitää ”kohtuuttomina” kyseisessä säännöksessä tarkoitetussa merkityksessä yksistään tietyn ajanjakson kuluessa esitettyjen pyyntöjen määrän perusteella, koska mainitussa säännöksessä säädetyn mahdollisuuden käyttäminen edellyttää, että valvontaviranomainen osoittaa pyynnöt esittäneen henkilön väärinkäyttötarkoituksen.

60

Ennakkoratkaisua pyytänyt tuomioistuin kysyy kolmannella kysymyksellään pääasiallisesti, onko yleisen tietosuoja-asetuksen 57 artiklan 4 kohtaa tulkittava siten, että saadessaan kohtuuttomia pyyntöjä valvontaviranomainen voi valita vapaasti joko periä hallinnollisiin kustannuksiin perustuvan kohtuullisen maksun tai kieltäytyä pyyntöjen käsittelystä.

61

Ensiksi yleisen tietosuoja-asetuksen 57 artiklan 4 kohdan sanamuodosta on todettava, että siinä säädetyt kaksi vaihtoehtoa kohtuuttomien pyyntöjen varalta, nimittäin hallinnollisiin kustannuksiin perustuvan kohtuulliseen maksun periminen tai kieltäytyminen tällaisten pyyntöjen käsittelystä, mainitaan peräkkäin rinnastuskonjunktiolla ”tai” erotettuna, joten säännöksen sanamuodon perusteella ei voida päätellä vaihtoehtojen välistä etusijajärjestystä (ks. analogisesti tuomio 12.1.2023, Österreichische Post (Henkilötietojen vastaanottajiin liittyvät tiedot),C‑154/21, EU:C:2023:3, 31 kohta).

62

Näin ollen säännöksen sanamuoto näyttää tukevan tulkintaa, jonka mukaan valvontaviranomaisella on saamiensa pyyntöjen kohtuuttomuuden todettuaan vapaus valita jompikumpi näistä vaihtoehdoista.

63

Toiseksi yleisen tietosuoja-asetuksen 57 artiklan 4 kohdan asiayhteydestä on huomattava, että kyseisen asetuksen johdanto-osan 59 perustelukappaleessa todetaan, että ”olisi säädettävä yksityiskohtaisesti siitä, miten tähän asetukseen perustuvien rekisteröidyn oikeuksien käyttämistä voitaisiin helpottaa, mukaan lukien mekanismit, joilla rekisteröity voi erityisesti pyytää oikeutta saada tutustua henkilötietoihin ja mahdollisuuksien mukaan saada ne maksutta, ja esittää henkilötietojen oikaisemista tai poistamista koskevan pyynnön sekä käyttää oikeuttaan vastustaa henkilötietojen käsittelyä”. Tästä seuraa, että voidaan valita jompikumpi näistä kahdesta vaihtoehdosta, jos kanteluoikeuden tosiasiallinen käyttäminen joka tapauksessa varmistetaan.

64

Kolmanneksi tämän tuomion 62 kohdassa esitetty tulkinta on yleisen tietosuoja-asetuksen tavoitteiden mukainen.

65

Tässä yhteydessä on huomattava, että kyseisen asetuksen tarkoituksena on sen johdanto-osan 10 ja 11 perustelukappaleessa todetuin tavoin varmistaa yhdenmukainen ja korkeatasoinen luonnollisten henkilöiden suojelu unionissa sekä vahvistaa ja täsmentää rekisteröityjen oikeuksia (tuomio 26.10.2023, FT (Jäljennökset potilasasiakirjoista),C‑307/22, EU:C:2023:811, 47 kohta).

66

Lisäksi mainitun asetuksen johdanto-osan 129 perustelukappaleesta ilmenee, että valvontaviranomaisen on arvioitava tällaisen pyynnön ilmeistä perusteettomuutta tai kohtuuttomuutta puolueettomasti ja asianmukaisesti sekä varmistettava, että sen tekemä valinta on tarkoituksenmukainen, tarpeellinen ja oikeasuhteinen, kun otetaan huomioon asiaan liittyvät olosuhteet ja vältetään aiheuttamasta asianomaiselle henkilölle tarpeettomia kustannuksia ja liiallisia haittoja.

67

Kun otetaan huomioon kanteluoikeuden merkitys henkilötietojen suojan korkean tason varmistamista koskevan tavoitteen kannalta, kantelujen käsittelyn keskeinen asema valvontaviranomaisille osoitetuissa tehtävissä sekä valvontaviranomaisten velvollisuus käsitellä kantelut vaaditulla huolellisuudella, valvontaviranomaisten on otettava huomioon kaikki asian merkitykselliset seikat sekä varmistettava valitsemansa vaihtoehdon asianmukaisuus, tarpeellisuus ja oikeasuhteisuus.

68

Valvontaviranomainen voisi asian merkityksellisten seikkojen mukaan ja sen toiminnan moitteetonta sujumista mahdollisesti haittaavan väärinkäyttöä tarkoittavan menettelyn lopettamiseksi katsoa aiheelliseksi periä kohtuuttomien kantelujen aiheuttamasta lisätyöstä syntyneisiin hallinnollisiin kustannuksiin perustuvan kohtuullisen maksun. Tämän vaihtoehdon varoittavuus saattaisi nimittäin saada valvontaviranomaisen suosimaan tätä vaihtoehtoa sen sijaan että se kieltäytyisi välittömästi kantelujen käsittelystä.

69

Yleisen tietosuoja-asetuksen johdanto-osan 129 perustelukappaleen valossa valvontaviranomaiset voisivat näin ollen harkita ensimmäisessä vaiheessa hallinnollisiin kustannuksiin perustuvan kohtuullisen maksun perimistä ennen kuin ne kieltäytyvät toisessa vaiheessa kantelujen käsittelystä, jos ensimmäinen näistä toimenpiteistä on rekisteröidyillä asetuksen nojalla olevia oikeuksia vähemmän loukkaava toimenpide kuin jälkimmäinen niistä. Mainitun asetuksen 57 artiklan 4 kohdassa ei kuitenkaan edellytetä, että valvontaviranomaisen on kaikissa tapauksissa ensin käytettävä kohtuullisen maksun perimistä koskevaa vaihtoehtoa.

70

Edellä esitetyn perusteella kolmanteen kysymykseen on vastattava, että yleisen tietosuoja-asetuksen 57 artiklan 4 kohtaa on tulkittava siten, että saadessaan kohtuuttomia pyyntöjä valvontaviranomainen voi perustellulla päätöksellä valita joko periä hallinnollisiin kustannuksiin perustuvan kohtuullisen maksun tai kieltäytyä pyyntöjen käsittelystä, jolloin sen on otettava huomioon asian kaikki merkitykselliset seikat sekä varmistettava valitsemansa vaihtoehdon asianmukaisuus, tarpeellisuus ja oikeasuhteisuus.

71

Pääasian asianosaisten osalta asian käsittely unionin tuomioistuimessa on välivaihe kansallisessa tuomioistuimessa vireillä olevan asian käsittelyssä, minkä vuoksi kansallisen tuomioistuimen asiana on päättää oikeudenkäyntikulujen korvaamisesta. Oikeudenkäyntikuluja, jotka ovat aiheutuneet muille kuin näille asianosaisille huomautusten esittämisestä unionin tuomioistuimelle, ei voida määrätä korvattaviksi.

Näillä perusteilla unionin tuomioistuin (ensimmäinen jaosto) on ratkaissut asian seuraavasti: