ESTT patikslino nacionalinių priežiūros institucijų naudojimosi įgaliojimais dėl tarpvalstybinio duomenų tvarkymo sąlygas

2015 m. rugsėjo 11 d. Commission belge de la protection de la vie privée (Belgijos privataus gyvenimo apsaugos komisija, PGAK) pirmininkas Nederlandstalige rechtbank van eerste aanleg Brussel (nyderlandų kalba bylas nagrinėjantis Briuselio pirmosios instancijos teismas, Belgija) pareiškė ieškinį Facebook Ireland, Facebook Inc. ir Facebook Belgium siekdamas, kad būtų nutraukti Facebook tariamai daromi duomenų apsaugos teisės aktų pažeidimai. Šie pažeidimai pasireiškė visų pirma tuo, kad buvo renkama ir naudojama informacija apie Belgijos internautų, turinčių Facebook paskyrą ir jos neturinčių, naršymo elgesį, pasitelkiant įvairias technologijas, kaip antai slapukus, socialinius papildinius ir pikselius.

2018 m. vasario 16 d. šis teismas pripažino savo jurisdikciją nagrinėti šį ieškinį ir iš esmės nusprendė, kad socialinis tinklas Facebook nepakankamai informavo Belgijos internautus apie atitinkamos informacijos rinkimą ir naudojimą. Be to, internautų sutikimas dėl minėtos informacijos rinkimo ir tvarkymo buvo pripažintas negaliojančiu. 2018 m. kovo 2 d. Facebook Ireland, Facebook Inc. ir Facebook Belgium apskundė šį sprendimą prašymą priimti prejudicinį sprendimą pateikusiame teisme – Hof van beroep te Brussel (Briuselio apeliacinis teismas, Belgija). Tame teisme vykstančiame procese Autorité belge de protection des données (Belgijos duomenų apsaugos institucija, DAI) dalyvavo kaip PGAK pirmininko teisių ir pareigų perėmėja. Prašymą priimti prejudicinį sprendimą pateikęs teismas pripažino savo jurisdikciją priimti sprendimą tik dėl apeliacinio skundo, kiek jis pareikštas Facebook Belgium.

Prašymą priimti prejudicinį sprendimą pateikusiam teismui kilo abejonių dėl BDAR numatyto vieno langelio mechanizmo taikymo poveikio DAI kompetencijai, konkrečiau kalbant, jis siekė išsiaiškinti, ar, kiek tai susiję su aplinkybėmis, susiklosčiusiomis po BDAR įsigaliojimo, t. y. po 2018 m. gegužės 25 d., DAI gali imtis veiksmų prieš Facebook Belgium, nors Facebook Ireland buvo pripažintas atitinkamų duomenų valdytoju. Vadovaujantis BDAR numatytu vieno langelio principu, nuo tos datos kompetenciją pareikšti ieškinį dėl veiksmų nutraukimo turi tik Airijos duomenų apsaugos komisaras, kuriam taikoma Airijos teismų kontrolė.

Didžiosios kolegijos priimtame sprendime Teisingumo Teismas patikslino nacionalinių priežiūros institucijų įgaliojimus pagal BDAR. Jis, be kita ko, nusprendė, kad pagal šį reglamentą valstybės narės priežiūros institucijai tam tikromis sąlygomis leidžiama naudotis savo įgaliojimais dėl tariamų BDAR pažeidimų kreiptis į tos valstybės teismą ir pradėti teismo procesą dėl tarpvalstybinio duomenų tvarkymo, nors šio tvarkymo atveju ji nėra vadovaujanti institucija.

Pirma, Teisingumo Teismas patikslino sąlygas, kuriomis nacionalinė priežiūros institucija, neturinti vadovaujančios institucijos statuso, tarpvalstybinio duomenų tvarkymo atveju turi naudotis įgaliojimais dėl tariamų BDAR pažeidimų kreiptis į valstybės narės teismą ir tam tikrais atvejais pradėti teismo procesą, kad būtų užtikrintas šio reglamento taikymas. Taigi pagal BDAR šiai priežiūros institucijai turi būti suteikta kompetencija priimti sprendimą, kuriuo konstatuojama, kad toks duomenų tvarkymas pažeidžia šiame reglamente nustatytas taisykles, ir šiuo įgaliojimu turi būti naudojamasi laikantis minėtame reglamente numatytų bendradarbiavimo ir nuoseklumo užtikrinimo procedūrų.

Tarpvalstybinio duomenų tvarkymo atveju BDAR numatytas vieno langelio mechanizmas, grindžiamas kompetencijos paskirstymu „vadovaujančiai priežiūros institucijai“ ir kitoms susijusioms nacionalinėms priežiūros institucijoms. Pagal šį mechanizmą reikalaujama, kad institucijos glaudžiai, lojaliai ir veiksmingai bendradarbiautų siekdamos užtikrinti nuoseklią ir vienodą asmens duomenų apsaugos taisyklių apsaugą ir taip išlaikyti jo veiksmingumą. BDAR šiuo klausimu įtvirtinta principinė vadovaujančios priežiūros institucijos kompetencija priimti sprendimą, kuriuo konstatuojama, kad tarpvalstybinis duomenų tvarkymas pažeidžia šiame reglamente nustatytas taisykles, o kitų nacionalinių priežiūros institucijų kompetencija priimti tokį sprendimą, net ir laikiną, yra išimtis. Vis dėlto vadovaujanti priežiūros institucija, naudodamasi kompetencija, negali nepalaikyti būtino dialogo ir lojalaus bei veiksmingo bendradarbiavimo su kitomis atitinkamomis priežiūros institucijomis. Todėl, vykstant šiam bendradarbiavimui vadovaujanti priežiūros institucija negali neatsižvelgti į kitų susijusių priežiūros institucijų pozicijas, o dėl bet kokio tinkamo ir pagrįsto vienos iš šių institucijų pateikto prieštaravimo bent jau laikinai gali būti blokuojamas vadovaujančios priežiūros institucijos sprendimo projekto priėmimas.

Be to, kaip patikslino Teisingumo Teismas, aplinkybė, kad valstybės narės priežiūros institucija, kuri nėra vadovaujanti priežiūros institucija, tarpvalstybinio duomenų tvarkymo atveju gali pasinaudoti įgaliojimu dėl tariamų BDAR pažeidimų kreiptis į tos valstybės teismą ir pradėti teismo procesą, tik laikydamasi sprendimų priėmimo kompetencijos paskirstymo vadovaujančiai priežiūros institucijai ir kitoms priežiūros institucijoms taisyklių, yra suderinama su Europos Sąjungos pagrindinių teisių chartijos 7, 8 ir 47 straipsniais, kuriuose asmenims atitinkamai užtikrinama teisė į asmens duomenų apsaugą ir teisė į veiksmingą teisinę gynybą.

Antra, Teisingumo Teismas nusprendė, kad tarpvalstybinio duomenų tvarkymo atveju valstybės narės priežiūros institucijai, kuri nėra vadovaujanti priežiūros institucija, siekiant pasinaudoti įgaliojimu pareikšti ieškinį, nereikalaujama, kad tarpvalstybinį asmens duomenų tvarkymą vykdantis duomenų valdytojas ar duomenų tvarkytojas, kuriam pareiškiamas šis ieškinys, šios valstybės narės teritorijoje turėtų pagrindinę buveinę arba kitą buveinę. Vis dėlto naudojimasis šiuo įgaliojimu turi patekti į BDAR teritorinę taikymo sritį, o tai reiškia, kad tarpvalstybinį duomenų tvarkymą vykdantis duomenų valdytojas arba duomenų tvarkytojas turi turėti buveinę Sąjungos teritorijoje.

Trečia, Teisingumo Teismas pripažino, kad tarpvalstybinio duomenų tvarkymo atveju valstybės narės priežiūros institucija, kuri nėra vadovaujanti priežiūros institucija, gali pasinaudoti įgaliojimu dėl tariamų BDAR pažeidimų kreiptis į tos valstybės teismą ir tam tikrais atvejais pradėti teismo procesą tiek prieš duomenų valdytojo pagrindinę buveinę, esančią šios institucijos valstybėje narėje, tiek prieš kitą šio duomenų valdytojo buveinę, jeigu ieškinys reiškiamas dėl duomenų tvarkymo, atliekamo šiai buveinei vykdant veiklą, o minėta institucija turi kompetenciją pasinaudoti šiuo įgaliojimu. Vis dėlto Teisingumo Teismas patikslino, jog šiuo įgaliojimu galima naudotis su sąlyga, kad BDAR taikomas. Nagrinėjamu atveju, kadangi Belgijoje esančios Facebook grupės buveinės veikla neatsiejamai susijusi su pagrindinėje byloje nagrinėjamu asmens duomenų tvarkymu, už kurį Sąjungos teritorijoje yra atsakinga Facebook Ireland, toks tvarkymas laikomas atliekamu „duomenų valdytojo [buveinei vykdant] savo veiklą“, todėl visiškai patenka į BDAR taikymo sritį.

Ketvirta, Teisingumo Teismas nusprendė, kad tuomet, kai valstybės narės priežiūros institucija, kuri nėra „vadovaujanti priežiūros institucija“, pareiškė ieškinį dėl tarpvalstybinio asmens duomenų tvarkymo iki BDAR įsigaliojimo momento, ieškinys Sąjungos teisės požiūriu gali būti toliau nagrinėjamas remiantis Duomenų apsaugos direktyvos, kuri tebetaikoma joje įtvirtintų taisyklių pažeidimams, padarytiems iki šios direktyvos panaikinimo, nuostatomis Be to, tokį ieškinį minėta institucija gali pareikšti dėl pažeidimų, padarytų įsigaliojus BDAR, jeigu yra susiklosčiusi viena iš situacijų, kai šis reglamentas išimties tvarka suteikia tai institucijai kompetenciją priimti sprendimą, kuriuo konstatuojama, kad nagrinėjamas duomenų tvarkymas pažeidžia šio reglamento normas ir laikomasi pačiame reglamente numatytų bendradarbiavimo procedūrų.

Penkta, Teisingumo Teismas pripažino tiesioginį BDAR nuostatos, pagal kurią kiekviena valstybė narė įstatymuose numato, kad jos priežiūros institucija yra įgaliota atkreipti teisminių institucijų dėmesį į visus šio reglamento pažeidimus ir tinkamais atvejais pradėti teismo procesą, veikimą. Todėl tokia institucija gali remtis šia nuostata siekdama pareikšti ieškinį arba toliau tęsti procesą prieš asmenis, net jeigu ji konkrečiai nebuvo perkelta į atitinkamos valstybės narės teisę.

ES Teisingumo Teismo informacija