Priežiūros institucija – valdytoja skundėjo atžvilgiu

Skundą nagrinėjanti duomenų apsaugos institucija yra skundėjo duomenų valdytojaEuropa ir turi suteikti prieigą pagal 15 straipsnįEuropa, nusprendė Teisingumo Teismas (trečioji kolegija) 2026 m. lapkričio 5 d. byloje C-205/25 (Lindenberg prieš Bayerisches Landesamt für Datenschutzaufsicht). Bendras įstatyminis draudimas susipažinti su institucijos bylomis, kaip Bavarijos duomenų apsaugos įstatymo 20 paragrafo 2 punktas, pažeidžia BDAR 23 straipsnįEuropa: trečiųjų asmenų konfidencialumas ir institucijos veikimas reikalauja pusiausvyros, redagavimo ar tikslinių apribojimų, niekada visiško atsisakymo, o viešajam saugumui reikia realios, pakankamai rimtos grėsmės.

Skundėjas, žurnalistas, rašantis duomenų apsaugos tinklaraštį, nuo 2021 m. Bavarijos institucijai buvo pateikęs kelis skundus. Po jo 2022 m. gegužės 13 d. skundo dėl trečiojo asmens institucija 2022 m. spalio 11 d. el. laiške pranešė nustačiusi duomenų apsaugos pažeidimus ir už tolesnius pažeidimus išrašysianti baudos pranešimą. Tą pačią dieną jis paprašė visos informacijos pagal 15 straipsnio 1 ir 3 dalis; 2022 m. spalio 20 d. institucija atsisakė, remdamasi Bavarijos bendruoju draudimu. Gruodį jis pareiškė ieškinį dėl visos skundo byloje esančios informacijos kopijos; 2024 m. vasarį institucija suteikė elektroninę prieigą prie bylos, nepripažindama pareigos, o jis vis dar siekia, kad atsisakymas būtų pripažintas neteisėtu.

Dėl pirmojo klausimo Teismas skundą nagrinėjančią instituciją kvalifikuoja kaip valdytoją pagal 4 straipsnio 7 dalįEuropa: ji registruoja, peržiūri, saugo ir naudoja skundėjo duomenis, o to tvarkymo tikslai ir priemonės kyla iš instituciją reglamentuojančių Sąjungos nuostatų, kurios valdytoją gali paskirti ne tik aiškiai, bet ir numanomai, pačiai institucijai dėl jų nesprendžiant. Priešingu atveju skundėjas institucijos atžvilgiu prarastų visas III skyriaus teises, nuo informavimo ir prieigos iki ištaisymo, ištrynimo ir apribojimo, o institucija išvengtų 5 straipsnio principų ir IV skyriaus saugumo taisyklių. Subjektas gali būti kartu ir priežiūros institucija, ir valdytojas, pritaikydamas savo vidaus organizavimą taip, kad valdytojo veiksmai būtų nepriklausomai prižiūrimi. Tačiau 15 straipsnis suteikia prieigą prie savų asmens duomenų ir išvardytos informacijos, o ne bendrą teisę į administracinę bylą ar kiekvieną turimą dokumentąEuropa.

Dėl antrojo klausimo 23 straipsnio 1 dalies c, h ir i punktai bendrąjį draudimą pašalinaEuropa. Trečiųjų asmenų duomenų apsauga pagal i punktą reikalauja pusiausvyros, kur įmanoma redaguojant ar anoniminant, nes rezultatas niekada negali būti visos informacijos atsisakymas. Institucijos tinkamo veikimo ir nepriklausomumo išsaugojimas pagal h punktą iš principo yra teisėtas, tačiau prieigos įgyvendinimas negali pakirsti nepriklausomumo, o bendras abstraktus draudimas yra neproporcingas: administracinė našta sprendžiama išteklių pareiga ir 12 straipsnio 5 dalies mokesčiais ar atsisakymais esant akivaizdžiai nepagrįstiems ar pertekliniams prašymams. Viešasis saugumas pagal c punktą reikalauja realios ir pakankamai rimtos grėsmės pagrindiniam visuomenės interesui, kurios čia nematyti.

Teisinis pagrindas: 4 straipsnio 7 dalis kartu su 15 straipsniu bei 23 straipsnio 1 dalies c, h ir i punktai, Reglamentas (ES) 2016/679.