Järelevalveasutus on kaebaja suhtes vastutav töötleja

Kaebust menetlev andmekaitseasutus on kaebaja andmete vastutav töötlejaEuropa ja peab andma artikli 15 kohase juurdepääsu neileEuropa, leidis kohus (kolmas koda) 5. novembril 2026 kohtuasjas C-205/25 (Lindenberg versus Bayerisches Landesamt für Datenschutzaufsicht). Üldine seaduslik keeld tutvuda asutuse toimikutega, nagu Baieri andmekaitseseaduse paragrahv 20 lõige 2, rikub GDPR-i artiklit 23Europa: kolmandate isikute konfidentsiaalsus ja asutuse toimimine nõuavad kaalumist, kinnikatmist või sihipäraseid piiranguid, mitte kunagi täielikku keeldumist, ning avalik julgeolek vajab tegelikku, piisavalt tõsist ohtu.

Kaebaja, andmekaitseblogi pidav ajakirjanik, oli alates 2021. aastast esitanud Baieri asutusele mitu kaebust. Pärast tema 13. mai 2022. aasta kolmanda isiku vastast kaebust teatas asutus 11. oktoobri 2022 e-kirjas, et on tuvastanud andmekaitserikkumised ja määrab korduvate rikkumiste korral trahviteate. Samal päeval taotles ta täielikke üksikasju artikli 15 lõigete 1 ja 3 alusel; 20. oktoobril 2022 keeldus asutus, viidates Baieri üldisele keelule. Ta kaebas detsembris kohtusse, et saada koopia kõigest kaebuse toimikus; 2024. aasta veebruaris andis asutus elektroonilise toimikuga tutvumise, tunnustamata kohustust, samas kui ta taotleb endiselt keeldumise õigusvastaseks tunnistamist.

Esimese küsimuse osas liigitab kohus kaebust menetleva asutuse vastutavaks töötlejaks artikli 4 punkti 7 kohaseltEuropa: see salvestab, vaatab, säilitab ja kasutab kaebaja andmeid ning töötlemise eesmärgid ja vahendid tulenevad asutust reguleerivatest liidu sätetest, mis võivad vastutava töötleja määrata mitte ainult selgesõnaliselt, vaid ka kaudselt, ilma et asutus ise nende üle otsustaks. Vastasel juhul kaotaks kaebaja asutuse suhtes kõik III peatüki õigused, teabest ja juurdepääsust parandamise, kustutamise ja piiramiseni, ning asutus pääseks artikli 5 põhimõtetest ja IV peatüki turvanõuetest. Organ võib olla samaaegselt nii järelevalveasutus kui ka vastutav töötleja, kohandades oma sisemist korraldust nii, et töötleja teod alluksid sõltumatule järelevalvele. Kuid artikkel 15 annab juurdepääsu enda isikuandmetele ja loetletud teabele, mitte üldist õigust haldustoimikule ega igale hoitavale dokumendileEuropa.

Teise küsimuse osas välistavad artikli 23 lõike 1 punktid c, h ja i üldise keeluEuropa. Kolmandate isikute andmete kaitse punkti i alusel nõuab kaalumist, võimaluse korral kinnikatmise või anonüümseks muutmise teel, kuna tulemus ei tohi kunagi olla kogu teabe andmisest keeldumine. Asutuse nõuetekohase toimimise ja sõltumatuse säilitamine punkti h alusel on põhimõtteliselt õiguspärane, kuid juurdepääsu teostamine ei saa sõltumatust õõnestada ning üldine abstraktne keeld on ebaproportsionaalne: halduskoormusele vastatakse ressursikohustuse ning artikli 12 lõike 5 tasude või keeldumistega ilmselgelt põhjendamatute või liigsete taotluste korral. Avalik julgeolek punkti c alusel nõuab tegelikku ja piisavalt tõsist ohtu ühiskonna põhihuvile, millest siin midagi ei nähtu.

Õiguslik alus: artikkel 4 punkt 7 koostoimes artikliga 15 ning artikli 23 lõike 1 punktid c, h ja i, määrus (EL) 2016/679.