Saatja: <
[email protected]>
Saadetud: 29.11.2022 19:12
Adressaat: SM Info <
[email protected]>; Margo Roasto <
[email protected]>; JM
info Shared MB <
[email protected]>
Teema: C-659/22
Manused: 001-C-659-22--ET.pdf; 002-C-659-22-1-1237639-EN-G286290.pdf;
002-C-659-22-1-1237639-ET-G286290.pdf; 002-C-659-22-1-1237639-FR-
G286290.pdf
Välisministeeriumis registreeritud: 15.3-3/2022/466 Kohtuasja number:
C-659/22 Vastuse kuupäev: 13.12.2022
Staadium: Uus menetlus
Märksõnad: Covid-19 epideemia; ELi digitaalne COVID-tõend; isikuandmete
kaitse; isikuandmete töötlemine; kontrollimeetmed; õigus eraelu
puutumatusele
Õiguslikud vormid: määrus (EL) nr 2016/679; määrus (EL) nr 2021/953
Palun teatage 7 päeva jooksul, kas kohtuasja temaatika kuulub teie
vastutusalasse.
Juhul, kui kohtuasja temaatika ei kuulu teie vastutusalasse, palun
viidake, milline teine ametiasutus sellega peaks tegelema.
Palun teatage, kas Eesti peaks selles eelotsusemenetluses seisukoha
esitama, ja põhjendage oma arvamust (ka eitavat seisukohta).
EL õiguse büroo
Välisministeerium
Vastuvõtmise kuupäev : 29/11/2022
Version anonymisée
Traduction C-659/22 – 1
Affaire C-659/22
Demande de décision préjudicielle
Date de dépôt :
20 octobre 2022
Juridiction de renvoi :
Nejvyšší správní soud (République tchèque)
Date de la décision de renvoi :
12 octobre 2022
Partie requérante :
RK
Partie défenderesse :
Ministerstvo zdravotnictví
ORDONNANCE
Le Nejvyšší správní soud (Cour administrative suprême, République tchèque) a
décidé [OMISSIS] dans l’affaire opposant le requérant : RK [OMISSIS] au
défendeur : Ministerstvo zdravotnictví (ministère de la Santé) [OMISSIS], dans
la procédure concernant le recours en annulation dirigé contre la mesure à
caractère général du défendeur, du 29 décembre 2021, portant la référence
MZDR 14601/2021-34/MIN/KAN, en tant qu’il vise à obtenir l’annulation de
l’article I point 2 sous b) et c), point 3 sous b), point 6 sous c) et d), point 7
sous b), point 8 sous a) et b), point 9 sous a) et b), point 10 sous a) et b), point 11
sous b) et c), point 12 sous c) et d), point 13 sous b) et c), point 14 sous c) et
point 15, de ladite mesure
en ce sens :
I. La Cour de justice de l’Union européenne est saisie de la question
préjudicielle suivante :
FR
DEMANDE DE DECISION PREJUDICIELLE DU 12. 10. 2022 – AFFAIRE C-659/22 – 1
La vérification, en recourant à l’application nationale « čTečka », de la
validité de certificats COVID-19 interopérables de vaccination, de test
et de rétablissement délivrés en vertu du règlement (UE) 2021/953 du
Parlement européen et du Conseil, du 14 juin 2021, relatif à un cadre
pour la délivrance, la vérification et l’acceptation de certificats
COVID-19 interopérables de vaccination, de test et de rétablissement
(certificat COVID numérique de l’UE) afin de faciliter la libre
circulation pendant la pandémie de COVID-19 [(JO 2021, L 211, p. 1)],
qui sont utilisés par la République tchèque à des fins nationales,
donne-t-elle lieu à un traitement automatisé de données à caractère
personnel au sens de l’article 4, point 2, du règlement (UE) 2016/679 du
Parlement européen et du Conseil, du 27 avril 2016, relatif à la
protection des personnes physiques à l’égard du traitement des données
à caractère personnel et à la libre circulation de ces données, et
abrogeant la directive 95/46/CE (règlement général sur la protection des
données) [(JO 2016, L 119, p. 1)] de sorte qu’elle relève du champ
d’application matériel du règlement général sur la protection des
données en vertu de l’article 2, paragraphe 1, dudit règlement ?
II. [OMISSIS]
Motivation :
I. Objet de la procédure
[1] Le défendeur, par une mesure exceptionnelle du 29 décembre 2021, portant
la référence MZDR 14601/2021-34/MIN/KAN (ci-après la « mesure
exceptionnelle »), adoptée en vue de la protection de la population face à une
extension de la propagation de la covid-19, sur le fondement de l’article 69,
paragraphe 1, sous i), et paragraphe 2, du zákon č. 258/2000 Sb., o ochraně
veřejného zdraví a o změně některých souvisejících zákonů (loi no 258/2000 sur la
protection de la santé publique et portant modification d’autres lois connexes),
dans sa version applicable à compter du 1er mai 2020, ainsi que sur le fondement
de l’article 2, paragraphe 2, sous b) à e), et sous i), du zákon č. 94/2021 Sb., o
mimořádných opatřeních při epidemii onemocnění COVID-19 a o změně
některých souvisejících zákonů (loi no 94/2021 sur les mesures exceptionnelles
adoptées lors de l’épidémie de COVID-19 et portant modification de certaines lois
connexes), dans sa version applicable jusqu’au 14 janvier 2022 (ci-après la « loi
relative à la pandémie ») prévoyait, avec effet à compter du 3 janvier 2022, des
conditions aux fins de l’accès des personnes à certains espaces intérieurs et
extérieurs ou aux fins de la participation à des événements de masse ou à d’autres
activités.
[2] Aux fins de pouvoir utiliser certains services, entrer dans des établissements
ou participer à des événements, il était, entre autres, exigé par les dispositions de
la mesure exceptionnelle de respecter les conditions prévues à l’article I, point 15,
de ladite mesure exceptionnelle. Ces conditions étaient les suivantes : (a) avoir
2
Version anonymisée
MINISTERSTVO ZDRAVOTNICTVI (MINISTERE DE LA SANTE)
passé un test RT-PCR de détection de la présence du virus SRAS-CoV-2 avec un
résultat négatif datant de moins de 72 heures, s’il s’agit (i) d’une personne âgée de
moins de 18 ans, (ii) d’une personne qui ne peut se soumettre à la vaccination
contre la covid-19 en raison d’une contre-indication, ou (iii) d’une personne dite
sans schéma vaccinal complet ; (b) l’expiration d’une période d’au moins 14 jours
depuis [l’obtention d’un] schéma vaccinal complet, et ce avec un médicament
approuvé ; ou (c) la contamination, confirmée par un laboratoire, par la covid-19,
si la période d’isolement a pris fin et qu’il ne s’est pas écoulé plus de 180 jours à
compter du premier test positif (ci-après les « conditions dites d’absence
d’infection »).
[3] Le défendeur a prévu, notamment à l’article I point 2 sous c), point 8
sous b), point 9 sous b), point 10 sous b), point 11 sous c), point 13 sous c) et
point 14 sous c), de la mesure exceptionnelle, une obligation, pour les clients
(spectateurs, participants), d’apporter la preuve du respect des conditions dites
d’absence d’infection ainsi qu’une obligation, pour les exploitants (organisateurs),
de contrôler le respect de ces conditions via l’application « čTečka ». Si le client
n’apportait pas la preuve du respect des conditions dites d’absence d’infection, il
était interdit à l’exploitant de fournir le service au client, de lui donner accès à
l’espace ou à l’événement ou de lui permettre de participer à l’événement ou à la
visite de groupe.
[4] S’agissant de l’obligation des exploitants de contrôler le respect des
conditions dites d’absence d’infection par l’application « čTečka », le défendeur a
indiqué dans les motifs de la mesure exceptionnelle que « partout où il est imposé
aux exploitants d’établissements, aux prestataires de services et aux organisateurs
d’événements de contrôler le respect des conditions énoncées au point 1/15, il
leur est enjoint de le faire via l’application mobile du Ministerstvo zdravotnictví
(ministère de la Santé) “čTečka” étant donné qu’il s’agit d’une méthode qui
garantit une vérification fiable de l’authenticité et de la validité du document
justificatif présenté contenant le code QR, et ce également compte tenu de
l’augmentation du nombre de signalements concernant la présentation de preuves
avec des confirmations mensongères ou falsifiées ».
[5] Par un recours en annulation de la mesure à caractère général formé auprès
du Nejvyšší správní soud (Cour administrative suprême), le 20 janvier 2022, le
requérant a demandé l’annulation de la mesure exceptionnelle dans la mesure
indiquée dans l’en-tête de la présente ordonnance. Dans son recours, le requérant
a, notamment, reproché le fait que l’obligation de prouver le respect des
conditions dites d’absence d’infection donnait lieu à une interférence
disproportionnée dans ses droits de la personne, en particulier dans son droit à la
protection de la vie privée. Le défendeur n’a pas indiqué dans les motifs de la
mesure exceptionnelle la raison pour laquelle il a prévu une obligation d’utiliser
l’application « čTečka » et il ne s’est pas expliqué sur la question de la protection
des données à caractère personnel. Après que le code QR a été scanné, il s’affiche
dans l’application, sur l’appareil de l’exploitant, des données à caractère personnel
de la personne contrôlée, à savoir ses nom, prénom, date de naissance et
3
Version anonymisée
DEMANDE DE DECISION PREJUDICIELLE DU 12. 10. 2022 – AFFAIRE C-659/22 – 1
nationalité [article 4, paragraphe 1, du règlement (UE) 2016/679 du Parlement
européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes
physiques à l’égard du traitement des données à caractère personnel et à la libre
circulation de ces données, et abrogeant la directive 95/46/CE (règlement général
sur la protection des données) [JO 2016, L 119, p. 1)] (ci-après le « règlement
RGPD »)] ainsi que des données sur la vaccination, y compris la date et le type de
vaccin utilisé, le rétablissement ou le fait de s’être soumis à un test PCR (article 4,
paragraphe 5, du règlement RGPD). La mesure exceptionnelle a transféré
l’obligation de traiter les données à caractère personnel aux exploitants et aux
clients. Elle n’a toutefois pas fixé de règles pour le traitement des données à
caractère personnel de la catégorie spécifique. Une quelconque réflexion sur
l’interférence avec le droit à la protection de la vie privée fait défaut. L’étendue du
contrôle et les obligations imposées aux exploitants et aux clients sont contraires
aux principes régissant le traitement des données à caractère personnel. Par la
mesure exceptionnelle, le défendeur a mis à la charge des exploitants le traitement
de données à caractère personnel sensibles sans les informer de l’étendue de leurs
droits et obligations et sans prendre une quelconque mesure pour protéger les
données à caractère personnel traitées. Il n’apparaît pas clairement pourquoi il doit
être présenté aux exploitants des données sur la vaccination ou sur le
rétablissement. La mesure exceptionnelle ne mentionne pas d’objectif légitime
poursuivi par le traitement de données à caractère personnel sensibles.
[6] Dans ses observations sur le recours, le défendeur a indiqué que l’obligation
de vérifier le respect des conditions dites d’absence d’infection n’interfère
nullement dans les droits du requérant étant donné que ce respect peut être prouvé
par un certificat sous une forme électronique et également sous une forme
physique. Le contrôle ne méconnaît pas le règlement RGPD. Dans ce contexte, le
défendeur s’est référé à l’arrêt du NSS [Nejvyšší správní soud (Cour
administrative suprême)] du 28 janvier 2022, portant la référence 8 Ao
29/2021-98, no 4312/2022 Sb. NSS, společenství vlastníků jednotek [association
des copropriétaires], dans lequel le Nejvyšší správní soud (Cour administrative
suprême) est arrivé à la conclusion que, lors d’un simple contrôle visuel de
certificats, il n’y a pas de compétence matérielle du règlement RGPD étant donné
que cela n’aboutit pas à un traitement automatisé de données à caractère personnel
et, dans le cas d’un traitement non automatisé, il n’en est pas tenu de fichier. Le
requérant n’a pas avancé d’argumentation cohérente dont il résulterait en quoi,
concrètement, la partie attaquée de la mesure exceptionnelle est contraire au
règlement RGPD.
[7] Dans son mémoire en réplique aux observations du défendeur, le requérant a
indiqué que le fait que la mesure exceptionnelle ne règle pas la possibilité de
traitement de données à caractère personnel par les exploitants constitue un risque
important pour le droit à la protection de la vie privée et à la protection des
données à caractère personnel. Dans son arrêt společenství vlastníků jednotek, le
Nejvyšší správní soud (Cour administrative suprême) n’a pas abordé l’obligation
d’apporter la preuve de ce qu’on appelle l’absence d’infection par un certificat ou
par une autre pièce justificative lisible avec l’application « čTečka ». Le certificat
4
Version anonymisée
MINISTERSTVO ZDRAVOTNICTVI (MINISTERE DE LA SANTE)
constitue toutefois un ensemble structuré de données sensibles. Le contrôle
constitue, à tout le moins partiellement, un traitement automatisé de données à
caractère personnel au sens de l’article 2, paragraphe 1, du règlement RGPD.
Même si ce règlement ne s’appliquait pas, les principes qui en découlent
s’appliquent. Le défendeur n’a pas motivé l’étendue des données contrôlées. Une
interférence dans le droit à la protection de la vie privée résulte de la combinaison
de l’obligation de contrôler et de l’obligation de démontrer le respect des
conditions.
II. Droit de l’Union et réglementation nationale applicables
[8] Aux termes de l’article 2, paragraphe 1, du règlement RGPD, le présent
règlement s’applique au traitement de données à caractère personnel, automatisé
en tout ou en partie, ainsi qu’au traitement non automatisé de données à caractère
personnel contenues ou appelées à figurer dans un fichier.
[9] Aux termes de l’article 4, point 1, du règlement RGPD, aux fins dudit
règlement, on entend par « données à caractère personnel », toute information se
rapportant à une personne physique identifiée ou identifiable (ci-après dénommée
« personne concernée ») ; est réputée être une « personne physique identifiable »
une personne physique qui peut être identifiée, directement ou indirectement,
notamment par référence à un identifiant, tel qu’un nom, un numéro
d’identification, des données de localisation, un identifiant en ligne, ou à un ou
plusieurs éléments spécifiques propres à son identité physique, physiologique,
génétique, psychique, économique, culturelle ou sociale.
[10] Aux termes de l’article 4, point 2, du règlement RGPD, aux fins dudit
règlement, on entend par « traitement », toute opération ou tout ensemble
d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à
des données ou des ensembles de données à caractère personnel, telles que la
collecte, l’enregistrement, l’organisation, la structuration, la conservation,
l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la
communication par transmission, la diffusion ou toute autre forme de mise à
disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la
destruction.
[11] Aux termes de l’article 4, point 15, du règlement RGPD, aux fins dudit
règlement, on entend par « données concernant la santé », les données à caractère
personnel relatives à la santé physique ou mentale d’une personne physique,
y compris la prestation de services de soins de santé, qui révèlent des
informations sur l’état de santé de cette personne.
[12] Aux termes de l’article 9, paragraphe 1, du règlement RGPD, sont interdits
le traitement des données à caractère personnel qui révèle l’origine raciale ou
ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou
l’appartenance syndicale, ainsi que le traitement des données génétiques, des
données biométriques aux fins d’identifier une personne physique de manière
5
Version anonymisée
DEMANDE DE DECISION PREJUDICIELLE DU 12. 10. 2022 – AFFAIRE C-659/22 – 1
unique, des données concernant la santé ou des données concernant la vie
sexuelle ou l’orientation sexuelle d’une personne physique.
[13] Aux termes de l’article 1er du règlement (UE) 2021/953 du Parlement
européen et du Conseil, du 14 juin 2021, relatif à un cadre pour la délivrance, la
vérification et l’acceptation de certificats COVID-19 interopérables de
vaccination, de test et de rétablissement (certificat COVID numérique de l’UE)
afin de faciliter la libre circulation pendant la pandémie de COVID-19 [(JO 2021,
L 211, p. 1)] (ci-après le « règlement sur les certificats numériques »), le présent
règlement établit un cadre pour la délivrance, la vérification et l’acceptation de
certificats COVID-19 interopérables de vaccination, de test et de rétablissement
(certificat COVID numérique de l’UE) aux fins de faciliter l’exercice, par leurs
titulaires, de leur droit à la libre circulation pendant la pandémie de COVID-19.
Le présent règlement contribue également à faciliter la levée progressive des
restrictions à la libre circulation mises en place par les États membres,
conformément au droit de l’Union, pour limiter la propagation du SARS-CoV-2,
de manière coordonnée. Il prévoit la base juridique du traitement des données à
caractère personnel nécessaires à la délivrance de ces certificats ainsi que du
traitement des informations nécessaires pour vérifier et confirmer l’authenticité et
la validité de ces certificats dans le plein respect du règlement (UE) 2016/679.
[14] Aux termes de l’article 10, paragraphes 1 à 3, du règlement sur les certificats
numériques, 1. Le règlement (UE) 2016/679 s’applique au traitement de données
à caractère personnel effectué dans le cadre de la mise en œuvre du présent
règlement. 2. Aux fins du présent règlement, les données à caractère personnel
contenues dans les certificats délivrés en vertu du présent règlement sont traitées
aux seules fins de l’accès aux informations contenues dans le certificat et de la
vérification de ces informations afin de faciliter l’exercice du droit à la libre
circulation au sein de l’Union durant la pandémie de COVID-19. Il n’est procédé
à aucun autre traitement à l’issue de la période d’application du présent
règlement. 3. Les données à caractère personnel contenues dans les certificats
visés à l’article 3, paragraphe 1, ne sont traitées par les autorités compétentes de
l’État membre de destination ou de transit, ou par les opérateurs de services
transfrontières de transport de voyageurs qui sont tenus, en vertu du droit
national, de mettre en œuvre certaines mesures de santé publique durant la
pandémie de COVID-19, qu’aux seules fins de vérifier et confirmer la vaccination
du titulaire, les résultats de ses tests ou son rétablissement. À cette fin, les
données à caractère personnel sont limitées à ce qui est strictement nécessaire.
Les données à caractère personnel auxquelles il a été accédé en vertu du présent
paragraphe ne sont pas conservées.
[15] Aux termes de l’article 2, paragraphe 1, de la loi relative à la pandémie, le
ministerstvo zdravotnictví (ministère de la Santé) (ci-après le « ministère »), un
bureau régional de la santé ou le bureau de la santé de la ville de Prague
(ci-après le « bureau régional de la santé ») peut, aux fins de l’élimination de
l’épidémie de COVID-19 ou du risque de sa résurgence, ordonner une mesure
exceptionnelle par laquelle il enjoint une activité donnée contribuant au respect
6
Version anonymisée
MINISTERSTVO ZDRAVOTNICTVI (MINISTERE DE LA SANTE)
de l’objectif mentionné ou interdit ou limite certaines activités ou services dont
l’exercice pourrait propager la COVID-19, ou fixe les conditions de mise en
œuvre de telles activités ou de prestation de tels services. Le ministère peut
ordonner une mesure exceptionnelle, au titre de la première phrase, avec une
portée nationale ou une portée sur le territoire de plusieurs régions. Un bureau
régional de la santé peut ordonner une mesure exceptionnelle sur le territoire de
sa circonscription administrative.
III. Analyse de la question préjudicielle
[16] Le litige dans la présente affaire a, entre autres, pour objet la question de
savoir si, dans la mesure exceptionnelle, le défendeur a prévu des règles de
protection des données à caractère personnel dans le cadre du contrôle des
certificats de vaccination, de rétablissement ou de test par les exploitants via
l’application « čTečka ». Le requérant reproche, en effet, le fait que le défendeur
n’a pas abordé cette question dans les motifs de la mesure exceptionnelle, qu’il
n’est pas prévu dans la mesure exceptionnelle de règles pour le traitement des
données à caractère personnel de la catégorie spécifique, qu’une réflexion sur
l’interférence dans le droit à la protection de la vie privée fait défaut dans la
mesure, que le défendeur n’a pas porté à la connaissance des exploitants leurs
droits et obligations en ce qui concerne la catégorie spécifique de données à
caractère personnel, qu’il n’a pris aucune mesure en vue de la protection des
données à caractère personnel traitées et qu’il ne résulte, par ailleurs, de la mesure
exceptionnelle aucun objectif du traitement des données à caractère personnel de
la catégorie spécifique.
[17] Aux fins de l’appréciation de cette question par le Nejvyšší správní soud
(Cour administrative suprême), il est nécessaire, tout d’abord, de clarifier si, lors
du contrôle des conditions dites d’absence d’infection au moyen de l’application
« čTečka », on arrive à un traitement automatisé de données à caractère personnel
au sens de l’article 4, point 2, du règlement RGPD, et s’il existe donc une
compétence matérielle du règlement RGPD en vertu de l’article 2, paragraphe 1,
dudit règlement.
[18] C’est pourquoi le Nejvyšší správní soud (Cour administrative suprême) a
invité le défendeur à clarifier et à décrire à la juridiction la manière dont
fonctionne l’application « čTečka ». Le défendeur a indiqué, à la suite de cette
invitation, que l’application « čTečka » sert au contrôle et à la vérification de la
validité des certificats numériques délivrés en vertu du règlement sur les
certificats numériques. L’application scanne le code QR du certificat avec
l’appareil photo du téléphone portable. Elle affiche ensuite à la personne
procédant au contrôle un aperçu des informations de base sur le certificat, à savoir
les données d’identification de base du titulaire du certificat (nom, prénom et date
de naissance) et le statut valide/invalide. Sur demande (en cliquant sur un bouton),
l’application affiche l’ensemble des informations mentionnées dans le certificat
(par exemple, la vaccination, le type de vaccin, le fabricant du vaccin, le nombre
de doses, la date de la vaccination, la date du premier résultat positif, l’État
7
Version anonymisée
DEMANDE DE DECISION PREJUDICIELLE DU 12. 10. 2022 – AFFAIRE C-659/22 – 1
membre de l’Union, l’émetteur du certificat, l’identifiant du certificat).
L’application ne conserve pas ces informations et ne les transfère nulle part. Elle
se borne à les afficher temporairement sur l’écran du téléphone portable.
S’agissant de la vérification de la validité d’un certificat, l’application télécharge,
une fois toutes les 24 heures ou sur demande, les clés publiques des certificats des
États membres et les règles de validation des États membres depuis l’interface du
défendeur. L’application, lorsqu’elle scanne le code QR, vérifie la clé publique du
certificat et la validité du certificat au regard des règles de validation en vigueur à
ce moment. Ce processus peut se dérouler également hors ligne. Lors de
l’installation de l’application sur le téléphone portable, il est affiché à l’utilisateur
un texte mentionnant que « l’application čTečka est exploitée conformément au
droit de l’Union et au droit de la République tchèque et facilite la libre circulation
des personnes et l’accès aux services et aux événements durant la pandémie de
COVID-19. L’application traite les données à caractère personnel des titulaires
de certificats COVID numériques des États membres de l’Union en vue de leur
contrôle par des personnes habilitées sur la base du règlement de l’Union, de
mesures exceptionnelles du MZ [ministère de la Santé] de la République tchèque
ou sur une base volontaire. L’application ne conserve et ne transmet nulle part les
données à caractère personnel et concernant la santé des personnes contrôlées.
Des informations détaillées sur le traitement des données à caractère personnel
peuvent être trouvées dans les conditions d’utilisation 1 ».
[19] Le Nejvyšší správní soud (Cour administrative suprême) n’a pas de doute
quant au fait que les données contenues dans les certificats, à savoir les nom,
prénom, date de naissance et les données sur la vaccination, le rétablissement ou
le test négatif, constituent des données à caractère personnel au sens de l’article 4,
point 1), du [règlement] RGPD. À cet égard, il peut être renvoyé aux articles 5 à 7
du règlement sur les certificats numériques, qui indiquent quelles catégories de
données à caractère personnel les certificats contiennent. Le Nejvyšší správní soud
(Cour administrative suprême) a toutefois des doutes quant à la question de savoir
si ces données à caractère personnel font, lors du contrôle des certificats par
l’application « čTečka », l’objet d’un traitement au sens de l’article 4, point 2), du
règlement RGPD.
[20] En vertu de l’article 3, paragraphe 2, du règlement sur les certificats
numériques, un certificat délivré par un État membre doit contenir un code-barres
interopérable permettant de vérifier son authenticité, sa validité et son intégrité.
Conformément à la décision d’exécution (UE) 2021/1073 de la Commission, du
28 juin 2021, établissant les spécifications techniques et les règles relatives à la
mise en œuvre du cadre de confiance pour le certificat COVID numérique de l’UE
établi par le règlement (UE) 2021/953 du Parlement européen et du Conseil
[(JO 2021, L 230, p. 32)], la République tchèque délivre des certificats avec un
code QR contenant des informations lisibles par une machine concernant le
certificat et son titulaire. Le code QR contient ainsi en soi les données à caractère
1
https://ockodoc.mzcr.cz/napoveda/ctecka/cz/podminky-pouzivani/
8
Version anonymisée
MINISTERSTVO ZDRAVOTNICTVI (MINISTERE DE LA SANTE)
personnel susmentionnées, qui sont affichées sur le téléphone portable via
l’application « čTečka » à partir du code QR. La conversion des données, depuis
le format lisible par une machine en un format lisible par l’homme, est donc
effectuée au moyen d’un processus automatisé, à savoir l’application. Le fait de
scanner le code QR par l’application « čTečka » et la conversion des informations
qu’il contient en un format lisible par l’homme peuvent donc, déjà, répondre à la
définition du traitement de données à caractère personnel au sens de l’article 4,
point 2), du règlement RGPD. Il s’agit, en effet, d’une opération portant sur des
données à caractère personnel lors de laquelle on aboutit à les adapter dans un
format lisible par l’homme et à les rendre accessibles sur un téléphone portable.
Toutefois, la question se pose de savoir s’il y a lieu d’interpréter la notion de
traitement d’une manière aussi large. La simple conversion des informations,
depuis un format [lisible] par une machine en un format lisible par l’homme, et
leur affichage sur un téléphone portable ne risquent, en effet, pas de donner lieu à
un abus des données à caractère personnel ni à une interférence dans le droit à la
protection des données à caractère personnel si l’application n’envoie nulle part
les données aux fins de leur conversion. En effet, il s’agit en fait simplement
d’une opération de calcul lors de laquelle aucune donnée à caractère personnel
n’est traitée de quelque manière que ce soit. S’il s’agissait déjà d’un traitement de
données à caractère personnel dans ce cas, constituerait un traitement de données
à caractère personnel toute opération effectuée par un appareil électronique qui
scanne un quelconque code et l’affiche sur un appareil électronique, même s’il ne
les traite pas en outre. Il pourrait ainsi s’agir, par exemple, également du fait de
scanner un code QR de cartes de visite, qui facilite la conservation des données
depuis la carte de visite sur un téléphone portable. Un autre exemple serait la
lecture des données figurant dans des documents d’identité traitées dans la zone
lisible par une machine (en République tchèque, par exemple, dans les cartes
d’identité ou les passeports) ou dans des visas [voir à ce sujet, pour l’Union, les
Instructions consulaires communes sur les visas adressées aux représentations
diplomatiques et consulaires de carrière (2005/C 326/01)].
[21] Si lors du simple fait de scanner un code QR d’un certificat par l’application
« čTečka », il n’y a pas de traitement de données à caractère personnel, la question
se pose de savoir s’il n’y a pas de traitement de données à caractère personnel au
moment où la personne procédant au contrôle consulte les données à caractère
personnel affichées sur le téléphone portable dans le cadre du contrôle des
conditions dites d’absence d’infection. Dans ce contexte, le Nejvyšší správní soud
(Cour administrative suprême) n’a pas de doute quant au fait que la simple
consultation visuelle, par une personne procédant au contrôle, sur un certificat,
que ce soit sous une forme imprimée ou sous une forme électronique, ne relève
pas du champ d’application matériel du règlement RGPD en vertu de l’article 2,
paragraphe 1, dudit règlement. Il n’y a, en effet, pas de traitement automatisé de
données à caractère personnel et, dans le cas d’un traitement non automatisé, la
condition de tenue d’un fichier des données à caractère personnel ainsi consultées
n’est pas remplie (voir point 24 de l’arrêt společenství vlastníků jednotek).
Toutefois, le Nejvyšší správní soud (Cour administrative suprême) n’est pas
certain qu’un traitement automatisé de données à caractère personnel n’ait pas lieu
9
Version anonymisée
DEMANDE DE DECISION PREJUDICIELLE DU 12. 10. 2022 – AFFAIRE C-659/22 – 1
ultérieurement, du fait que la personne procédant au contrôle consulte les données
par le biais de l’application « čTečka » après avoir scanné le code QR. En effet,
sans cette application, la personne procédant au contrôle n’aurait pas été capable
de décoder et de lire les informations contenues dans le code QR ou de les
consulter. Le Nejvyšší správní soud (Cour administrative suprême) relève
toutefois que, du point de vue de la personne procédant au contrôle, il n’y a
aucune différence entre la question de savoir si, dans le cadre du contrôle des
conditions dites d’absence d’infection, elle consulte un certificat imprimé ou
électronique ou si elle scanne d’abord le code QR avec une application et consulte
ensuite les informations qui en résultent. En effet, dans chacun de ces cas, elle
verra les données à caractère personnel identiques qui sont contenues dans le
certificat. En outre, lors de l’utilisation de l’application « čTečka », elle verra
d’abord les données d’identification de base du titulaire du certificat (nom,
prénom et date de naissance) et le statut valide/invalide. Elle ne verra l’ensemble
des informations contenues dans le certificat qu’après avoir cliqué sur un bouton
(voir point [18] ci-dessus). Ainsi, bien qu’un outil automatisé donné soit utilisé
pour décoder le code QR, il s’agit toujours, du point de vue de la personne
procédant au contrôle, d’une simple consultation visuelle de données à caractère
personnel de la personne contrôlée.
[22] Selon le NSS [Nejvyšší správní soud (Cour administrative suprême)], on ne
saurait considérer comme un traitement de données à caractère personnel la
simple consultation de données à caractère personnel qu’une personne obtient via
une application à partir du code QR si ces données ne font en aucune façon l’objet
d’un traitement (par exemple, sont conservées ou transmises ailleurs). En effet,
s’il s’agit uniquement du résultat d’une opération de calcul lors de laquelle des
données lisibles par une machine sont converties en un format lisible par l’homme
sans qu’elles soient, en outre, utilisées de quelque manière que ce soit, il n’y a pas
de différence entre la question de savoir si la personne consulte un certificat lisible
par l’homme (imprimé sur papier avec les données pertinentes) ou si elle utilise,
en vue de sa conversion en un format lisible par l’homme, une application dans
laquelle elle voit ensuite les mêmes données. Toutefois, étant donné que la Cour
de justice ne s’est, à ce jour, pas encore prononcée sur l’interprétation de ces
questions, le NSS [Nejvyšší správní soud (Cour administrative suprême)] ne
saurait exclure que la Cour de justice adopte une interprétation différente au sujet
de ce stade, déjà, de l’opération portant sur des données à caractère personnel.
[23] Pourrait, en outre, constituer un traitement de données à caractère personnel
la vérification de la validité du certificat par l’application « čTečka ». Lors du
contrôle de la validité du certificat, on aboutit, en effet, en fait à l’utilisation de
données à caractère personnel, contenues dans le certificat, concernant la santé de
la personne contrôlée. Afin de pouvoir évaluer si le certificat est valide ou non,
l’application doit nécessairement comparer les informations concernant la santé de
la personne concernée, à savoir, par exemple, la date de vaccination, le nombre de
doses, le type de vaccin, avec les règles de validation en vigueur à ce moment-là.
Les données à caractère personnel de la catégorie spécifique contenues dans le
certificat sont ainsi utilisées par l’application pour permettre à la personne
10
Version anonymisée
MINISTERSTVO ZDRAVOTNICTVI (MINISTERE DE LA SANTE)
procédant au contrôle d’établir si la personne contrôlée remplit les conditions dites
d’absence d’infection prévues par la mesure exceptionnelle. Dans le cas d’un
simple contrôle visuel, c’est la personne procédant au contrôle qui devait effectuer
cette opération. Ainsi, par exemple, en fonction de la date du rétablissement, elle
appréciait si le certificat continuait à permettre l’utilisation du service réglementé.
Cette tâche a été facilitée par l’application « čTečka » étant donné que celle-ci
évaluait elle-même, en fonction des règles de validation, si un certificat donné (par
exemple, précisément un certificat de rétablissement) permet l’utilisation du
service. À cette fin, l’application téléchargeait périodiquement les règles de
validation en vigueur à ce moment. L’application était donc automatiquement
capable, en cas de changement des règles, d’évaluer si le titulaire du certificat
remplissait, après le changement des règles, les conditions dites d’absence
d’infection. Cela également pourrait constituer (bien que ce soit indirectement) un
traitement de données à caractère personnel. Lors de la vérification de la validité
du certificat, l’application n’envoyait toutefois nulle part les données à caractère
personnel concernant la santé de manière, par exemple, à ce qu’elles soient
comparées avec la base de données nationale concernant la vaccination ou les
rétablissements de la covid-19. Les données à caractère personnel concernant la
santé ne sont ainsi pas utilisées à une autre fin que leur comparaison avec les
règles de validation. Ces règles s’appliquaient toutefois également lorsque les
certificats étaient contrôlés seulement visuellement, mais pas automatiquement
comme dans le cas de l’application « čTečka ». Ces règles n’étaient, en outre, pas
liées à une personne spécifique, mais seulement aux données concernant ce qu’on
appelle l’absence d’infection. Dans le cadre de la validation, il importait donc peu
de savoir quelle personne concrète était concernée par les données étant donné que
l’essentiel était seulement que la règle applicable à ce moment figure dans son
certificat.
[24] S’il n’y a pas de traitement de données à caractère personnel non plus dans
le cas susmentionné, il y a lieu d’examiner si un traitement n’est pas constitué par
la combinaison des processus qui se déroulent lors du contrôle des certificats par
l’application « čTečka ». Il s’agit de la conversion des données personnelles
depuis le code QR en un format lisible par l’homme et de leur affichage sur un
téléphone portable, de leur consultation par la personne procédant au contrôle et
de l’évaluation de la validité du certificat par l’application par une comparaison
des données à caractère personnel concernant la santé avec les règles de
validation. Bien que, individuellement, ces processus puissent ne pas atteindre
l’intensité déterminante pour répondre à la définition du traitement au sens de
l’article 4, point 2, du règlement RGPD, on peut imaginer que dans leur totalité,
ils peuvent, déjà, constituer un ensemble d’opérations portant sur des données à
caractère personnel qui est effectué à l’aide de procédures automatisées, lors
duquel les données à caractère personnel de la personne contrôlée contenues dans
le certificat sont traitées dans le but de contrôler les conditions dites d’absence
d’infection. Le Nejvyšší správní soud (Cour administrative suprême) est plutôt
enclin à considérer qu’il s’agit, dans son ensemble, d’un traitement de données à
caractère personnel. À la différence du contrôle visuel du certificat par la personne
procédant au contrôle, les données à caractère personnel sont, en effet, utilisées
11
Version anonymisée
DEMANDE DE DECISION PREJUDICIELLE DU 12. 10. 2022 – AFFAIRE C-659/22 – 1
lors du contrôle au moyen de l’application « čTečka » en vue d’une évaluation
automatisée du respect des conditions dites d’absence d’infection. À cette fin,
l’application convertit les données à caractère personnel contenues dans le code
QR en un format lisible par l’homme, les compare avec les règles de validation
applicables et ensuite les affiche sur le téléphone portable de manière à ce que la
personne procédant au contrôle puisse les consulter.
[25] Cette conclusion est également étayée par le fait que le règlement sur les
certificats numériques, en son article 10, paragraphes 1 à 3, prévoit expressément,
aux fins de l’exercice du droit à la libre circulation au sein de l’Union, que le
règlement RGPD s’applique au traitement des données à caractère personnel, en
indiquant que les données à caractère personnel contenues dans les certificats ne
sont traitées par les autorités compétentes de l’État membre de destination ou de
transit, ou par les opérateurs de services transfrontières de transport de voyageurs
qu’aux seules fins de vérifier et de confirmer la vaccination du titulaire, les
résultats de ses tests ou son rétablissement. Bien que la République tchèque utilise
les certificats délivrés en vertu du règlement sur les certificats numériques dans le
contexte de la mesure exceptionnelle à des fins nationales (contrôle des conditions
dites d’absence d’infection), il convient que le traitement des données à caractère
personnel contenues dans les certificats ait un régime juridique uniforme comme
dans le cas du transport transfrontière. Comme l’indique, en effet, le
considérant 48 du règlement sur les certificats numériques, les États membres
peuvent traiter des données à caractère personnel à d’autres fins, si la base
juridique pour le traitement de ces données à d’autres fins, y compris les durées
de conservation y afférentes, est prévue par le droit national, qui doit respecter le
droit de l’Union en matière de protection des données et les principes
d’effectivité, de nécessité et de proportionnalité, et devrait contenir des
dispositions indiquant clairement la portée et l’étendue du traitement, la finalité
spécifique concernée, les catégories d’entités pouvant vérifier le certificat ainsi
que les garanties nécessaires pour prévenir les discriminations et les abus,
compte tenu des risques pour les droits et libertés des personnes concernées.
[26] Dans sa jurisprudence jusqu’à ce jour, la Cour de justice n’a pas abordé la
question de savoir si lors de la vérification de la validité de certificats délivrés par
les États membres en vertu du règlement sur les certificats numériques qui sont
utilisés à des fins nationales, par le biais d’une application nationale, on arrive à
un traitement de données à caractère personnel au sens de l’article 4, point 2, du
règlement RGPD et s’il existe une compétence matérielle du règlement RGPD en
vertu de l’article 2, paragraphe 1, dudit règlement.
[27] Seul le Tribunal dans son arrêt du 27 avril 2022, Roos e.a./Parlement,
T-710/21, T-722/21 et T-723/21, EU:T:2022:262, a implicitement considéré le
contrôle des certificats par des agents habilités du Parlement européen via les
applications nationales « CovidScanBe » et « Covidcheck.lu » comme un
traitement de données à caractère personnel au sens de l’article 3, point 3, du
règlement (UE) 2018/1725 du Parlement européen et du Conseil, du 23 octobre
2018, relatif à la protection des personnes physiques à l’égard du traitement des
12
Version anonymisée
MINISTERSTVO ZDRAVOTNICTVI (MINISTERE DE LA SANTE)
données à caractère personnel par les institutions, organes et organismes de
l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE)
no 45/2001 et la décision no 1247/2002/CE [(JO 2018, L 295, p. 39)] (ci-après le
« règlement no 2018/1725 »). Sans se prononcer expressément sur la question de
savoir s’il s’agit d’un traitement de données à caractère personnel, le Tribunal a
apprécié les moyens du recours à la lumière de la réglementation sur la protection
des données à caractère personnel contenue dans le règlement no 2018/1725. Il
n’avait donc manifestement pas de doute quant au fait qu’il s’agissait d’un
traitement de données à caractère personnel. Dans l’arrêt cité, le Tribunal s’est
appuyé sur le document du Contrôleur européen de la protection des données
portant orientations sur le retour sur le lieu de travail et la vérification par les
institutions, agences et organes de l’Union du statut immunitaire ou d’infection à
la COVID-19 [« Guidance on Return to the Workplace and EUIs’ screening of
COVID immunity or infection status »] 2, dans lequel le Contrôleur européen de la
protection des données est arrivé à la conclusion que la vérification numérique des
certificats, qui comporte le fait scanner un code QR, constitue un traitement de
données à caractère personnel au sens de l’article 3, point 3, du règlement
no 2018/1725.
[28] La définition du traitement de données à caractère personnel contenue à
l’article 3, point 3, du règlement no 2018/1725 est identique à la définition du
traitement en vertu de l’article 4, point 2, du règlement RGPD. Par ailleurs, les
applications « CovidScanBe » et « Covidcheck.lu » fonctionnent selon un principe
similaire à celui de l’application « čTečka » (voir point 176 de l’arrêt Roos
e.a./Parlement). Par conséquent, on peut également en conclure que, lors du
contrôle des conditions dites d’absence d’infection par l’application « čTečka »,
on aboutit à un traitement de données à caractère personnel au sens de l’article 4,
point 2), du règlement RGPD.
[29] Toutefois, cette question n’a pas été réglée dans la jurisprudence de la Cour
de justice à ce jour, étant entendu qu’il n’est pas possible de conclure à partir de sa
jurisprudence à quel point largement il y a lieu d’interpréter la notion de
traitement de données à caractère personnel au sens de l’article 4, point 2, du
règlement RGPD. Dans le même temps, le Nejvyšší správní soud (Cour
administrative suprême) a des doutes importants quant à l’interprétation de la
notion autonome du droit de l’Union étant donné que, comme cela a été analysé
plus haut, il est plutôt d’avis que les opérations individuelles ne constituent pas un
traitement de données à caractère personnel, et la question est celle de savoir si
leur combinaison présente réellement une qualité nouvelle telle qu’il peut déjà
s’agir d’un traitement de données à caractère personnel au sens du règlement
RGPD.
2
EDPS. Return to the Workplace and EUIs’ screening of COVID immunity or infection status
[en ligne]. edps.europa.eu. 9 août 2021. Return to the Workplace and EUIs’ screening of
COVID immunity or infection status – European Data Protection Supervisor (europa.eu)
13
Version anonymisée
DEMANDE DE DECISION PREJUDICIELLE DU 12. 10. 2022 – AFFAIRE C-659/22 – 1
[30] Le Nejvyšší správní soud (Cour administrative suprême) considère, de plus,
que cette question préjudicielle est, en outre, d’une importance générale pour la
détermination de l’étendue du champ d’application matériel du règlement RGPD
et la définition du traitement des données à caractère personnel par la Cour de
justice. En effet, en l’absence d’indications jurisprudentielles supplémentaires, il
est difficile d’apprécier quelles opérations techniques portant sur des données à
caractère personnel relèvent encore de la notion de traitement de données à
caractère personnel et quelles opérations ne le font plus.
[31] S’agissant de la question préjudicielle, les conditions permettant de ne pas
déférer de questions préjudicielles à la Cour, telles que mentionnées dans l’arrêt
du 6 octobre 1982, Cilfit e.a. (283/81, EU:C:1982:335), ne sont donc pas remplies.
[OMISSIS]
14
Version anonymisée
Vastuvõtmise kuupäev : 29/11/2022
Anonymised version
Summary C-659/22 – 1
Case C-659/22
Summary of the request for a preliminary ruling pursuant to Article 98(1) of
the Rules of Procedure of the Court of Justice
Date lodged:
20 October 2022
Referring court:
Nejvyšší správní soud (Czech Republic)
Date of the decision to refer:
12 October 2022
Applicant:
RK
Defendant:
Ministerstvo zdravotnictví (Czech Ministry of Health)
Subject of the main proceedings and of the request for a preliminary ruling
The original proceedings concern an application for the annulment of the
defendant’s measure 1 subject to which the applicant was obliged, upon entering
certain premises, to document his compliance with infection-free conditions. 2
1
Mimořádné opatření ze dne 29.12.2021, MZDR 14601/2021-34/MIN/KAN (Extraordinary
measure of 29 December 2021, MZDR 14601/2021-34/MIN/KAN) (‘the extraordinary
measure’).
2
(i) The taking a PCR test, to test for the presence of the SARS-CoV-2 virus with a negative
result that is not older than 72 hours for specific categories of persons; or (ii) the expiration of at
least 14 days after the completion of the vaccination scheme using an approved medicinal
product; or (iii) having undergone the Covid-19 disease as confirmed by a laboratory, with the
expiration of the isolation period and a time-limit of 180 days since the first positive test
(‘infection-free status’).
EN
SUMMARY OF THE REQUEST FOR A PRELIMINARY RULING – CASE C-659/22
The referring court is considering the question whether checks of compliance with
the conditions of an infection-free status contained in the EU Covid digital
certificates, 3 which are used for national purposes, via the defendant’s mandatory
mobile application, falls within the material scope of the GDPR Regulation. 4
Question referred for a preliminary ruling
‘Does the verification, using the national ‘čTečka’ application, of the validity of
interoperable Covid-19 vaccination, test, or recovery certificates, issued pursuant
to the [Digital Certificates] Regulation, which are used by the Czech Republic for
national purposes, amount to automated processing of personal data pursuant to
Article 4, point (2), of the [GDPR] Regulation, and hence, is the material scope of
the [GDPR Regulation] thus established, pursuant to Article 2(1) of that
Regulation?’
Provisions of European Union law relied on
GDPR Regulation. The referring court refers to Article 2(1) of the Regulation
(material scope) as well as to Article 4. point (1). (the concept of personal data),
Article 4. point (2). (the concept of processing), Article 4, point (15), (the concept
of data concerning health), and Article 9(1) (the prohibition on processing of
personal data).
Digital Certificates Regulation. The referring court refers to Article 1 of the
Regulation (Subject Matter) and Article 10(1) to (3) (personal data, processing,
and scope of the GDPR).
Provisions of national law relied on
The Pandemic Law. 5 Pursuant to Paragraph 2(1), the defendant may introduce an
extraordinary measure ordering, prohibiting, or restricting certain activities or
services in order to prevent the spread of the COVID-19 virus.
3
Certificates issued pursuant to Regulation (EU) 2021/953 of the European Parliament and of the
Council of 14 June 2021 on a framework for the issuance, verification and acceptance of
interoperable COVID-19 vaccination, test and recovery certificates (EU Digital COVID
Certificate) to facilitate free movement during the COVID-19 pandemic (‘the Digital
Certificates Regulation’).
4
Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on
the protection of natural persons with regard to the processing of personal data and on the free
movement of such data, and repealing Directive 95/46/EC (‘the GDPR Regulation’).
5
Zákon č. 94/2021 Sb., o mimořádných opatřeních při epidemii onemocnění COVID-19 a o
změně některých souvisejících zákonů (Law 94/2021 on extraordinary measures during the
COVID-19 pandemic and amending certain related laws), version effective as of 14 January
2022 (the ‘Pandemic Law’).
2
Anonymised Version
MINISTERSTVO ZDRAVOTNICTVÍ
Succinct presentation of the facts of the case and arguments of the parties to
the proceedings
1 By an extraordinary measure effective as of 3 January 2022, the defendant
mandated compliance with the condition of infection-free status for the entry of
persons into certain indoor and outdoor premises or for participation in mass-
organised events or other activities. In order to show whether customers (viewers,
participants) comply with the conditions, the defendant stipulated that operators of
facilities, service providers, and event organisers were obliged to conduct checks
using the defendant’s mobile application ‘čTečka’, to reliably verify the veracity
and validity of a certificate containing a QR code.
2 On 20 January 2022, the applicant applied for the annulment of the extraordinary
measure, arguing that the measure unduly interferes with his personal rights, in
particular the right to privacy, by combining the obligation to check and the
obligation to document compliance with the infection-free status conditions. The
defendant did not justify the obligation to use the ‘čTečka’ application and failed
to make a statement with respect to the issue of personal data protection 6 or with
respect to the legitimate handling of that data. In transferring the obligation to
operators and customers, it failed to lay down rules for the processing of special
categories of personal data, as defined by the GDPR Regulation, including the
scope of the rights and obligation of the said persons. According to the applicant,
the checking on the infection-free status conditions amounts to, at least in part,
automated processing of personal data, as defined in Article 2(1) of the GDPR
Regulation.
3 According to the defendant, there is no such interference with the applicant’s
rights, as the applicant is able to document his infection-free status by a certificate
in either electronic or physical form. The defendant referred to the judgement of
the referring court of 28 January 2022, ref no. 8 Ao 29/2021-98, 4312/2022,
according to which the mere visual inspection of a certificate does not fall within
the material scope of the GDPR, as no automated processing of personal data is
taking place, and in the case of non-automated processing, no record thereof is
kept.
4 At the request of the referring court, the defendant stated that the ‘čTečka’
application is used for checking on and verifying the validity of certificates issued
pursuant to the Digital Certificates Regulation. Upon the installation of the
application, the information appears that the application processes the personal
data of the holders of such certificate for the purpose of being checked by
authorised persons.
6
Meaning the data displayed in a mobile application after a QR code is scanned: name, surname,
date of birth and nationality, information about having undergone vaccination, including the
date and type of vaccine used, or of having recovered from the illness or having undergone a
PCR test.
3
Anonymised version
SUMMARY OF THE REQUEST FOR A PRELIMINARY RULING – CASE C-659/22
5 Specifically, the application scans the QR code of the certificate using a mobile
telephone camera. It then displays, for the person conducting the check, a preview
of the certificate holder’s basic data (name, surname, and date of birth), and the
status valid/invalid. When scanning the QR code, the application verifies the
certificate’s public key and the validity of the certificate vis-à-vis currently
applicable validation rules (the application downloads, once every 24 hours or
upon request, public keys of Member States’ certificates and the Member States’
validation rules from the defendant’s interface). This process may run off-line as
well. Upon request (clicking a button), the application displays the complete set of
the information shown in the certificate (e.g., vaccination, type of vaccine, vaccine
manufacturer, number of doses, date of vaccination, date of first positive result,
the EU Member State, the certificate issuer, and the certificate identifier). The
application does not retain that information or send it anywhere. It only
temporarily displays it on the screen of a mobile telephone.
Analysis of the question referred
6 In the view of the referring court, there is no doubt that the data contained in the
certificates constitutes personal data as defined in Article 4, point (1), of the
GDPR Regulation. The Czech Republic issues certificates with a QR code in line
with the Commission’s decision implementing the Digital Certificates Regulation.
7 The question arises as to whether ‘processing’ as defined by the GDPR Regulation
should be interpreted so broadly as to include the scanning of a QR code and the
displaying of information, i.e., an operation involving personal data during which
the data is adapted to a form readable by a human and is made available on a
mobile telephone. This adaptation takes place using an automated procedure, i.e.,
an application. De facto, it is a mere computing operation in which personal data
is in no way handled and there is no risk of any misuse of the data. It is a mere
translation of information from a machine-readable form to a form readable by a
human, and its display on a mobile telephone. In that case, any operation
conducted by an electronic device where any code is scanned and displayed in an
electronic device, even though it is not used any further (e.g., the scanning of a
QR code from business cards, the scanning of data in the machine-readable
section of an identification card, passport, or visa) could be deemed to constitute
processing.
8 If the operation described in the previous paragraph does not amount to
processing, the question arises as to whether personal data is processed when the
person conducting the check views the personal data displayed in a mobile
telephone using the application. There is no question that the mere visual
consultation of a certificate, whether on paper or in electronic form, does not fall
within the material scope of the GDPR Regulation, as no automated processing of
personal data is taking place, and in the case of non-automated processing, the
condition of keeping a record is not met; however, it is not certain whether
automated processing of personal data subsequently takes place when the person
4
Anonymised Version
MINISTERSTVO ZDRAVOTNICTVÍ
conducting the check consults the data through the ‘čTečka’ application,
following the scanning of a QR code. In the view of the referring court, the mere
consultation of personal data obtained by a person from a QR code with the use of
an application (i.e., the translation of machine data into a form readable by a
human) cannot be deemed to constitute personal data processing, provided that the
data is processed no further (e.g., saved or sent anywhere). From this point of
view, this does not differ from a paper certificate.
9 Furthermore, the verification of the validity of a certificate using the ‘čTečka’
application could amount to personal data processing, as personal data about a
person’s state of health, i.e., for example, the date of vaccination, the number of
doses, the type of vaccine, is being compared with applicable validation rules that
the application regularly downloads. That data is not used for any purpose other
than that comparison and the validation rules will apply even if certificates are
checked only visually. Furthermore, these rules are not linked to a specific person,
but rather, to data concerning an infection-free status.
10 If the case described in the previous paragraph does not amount to processing
either, it is to be asked whether the combination of all of the above-stated
processes that take place during the checking of certificates using the ‘čTečka’
application amounts to processing, meaning (i) the conversion of personal data
from a QR code to a form readable by a human and its projection in a mobile
telephone; (ii) the consultation of the data by the person conducting the check; and
(iii) the assessment of the validity of a certificate by the application, by comparing
the personal data concerning the state of health with validation rules.
11 The referring court leans towards the interpretation that, in aggregate, it amounts
to personal data processing. This conclusion is also supported by Article 10(1) to
(3) of the Digital Certificates Regulation. Even though the Czech Republic uses
certificates issued pursuant to the Regulation in relation to the extraordinary
measure issued for national purposes (checking on compliance with the condition
of an infection-free status), it would be appropriate for the handling of personal
data in certificates to be regulated by a uniform legal regime, as is the case with
cross-border transport. This rationale is also based on recital 48 of the Digital
Certificates Regulation.
12 According to the referring court, in its judgment of 27 April 2022, in Roos and
Others v Parliament (T-710/21, T-722/21 a T-723/21, EU:T:2022:262), the Court
considered the checking of certificates by authorised personnel of the European
Parliament using the national applications ‘CovidScanBe’ and ‘Covidcheck.lu’ 7
to amount to the processing of personal data as defined by Article 3, point (3), of
Regulation 2018/1725, 8 which defines personal data processing in the same way
7
These applications operate on a principle similar to that of ‘čTečka’.
8
Regulation (EU) 2018/1725 of the European Parliament and of the Council of 23 October 2018
on the protection of natural persons with regard to the processing of personal data by the Union
5
Anonymised version
SUMMARY OF THE REQUEST FOR A PRELIMINARY RULING – CASE C-659/22
as Article 4, point (2), of the GDPR Regulation. The Court based its judgment on
a document 9 of the European Data Protection Supervisor, in which he concluded
that the digital verification of certificates that involves the scanning of a QR code
constitutes personal data processing, as defined by Article 3, point (3), of
Regulation 2018/1725.
13 Nevertheless, the question referred has not yet been addressed by the case-law of
the Court of Justice, and it is not possible to infer from the Court’s case-law how
broadly the term ‘personal data processing’ pursuant to Article 4, point (2), of the
GDPR Regulation is to be interpreted.
institutions, bodies, offices and agencies and on the free movement of such data, and repealing
Regulation (EC) No 45/2001 and Decision No 1247/2002/EC (‘Regulation 2018/1725’).
9
Return to the Workplace and EUIs’ screening of COVID immunity or infection status |
European Data Protection Supervisor (europa.eu)
6
Anonymised Version
Vastuvõtmise kuupäev : 29/11/2022
Anonüümseks muudetud versioon
Kokkuvõte C-659/22–1
Kohtuasi C-659/22
Eelotsusetaotluse kokkuvõte vastavalt Euroopa Kohtu kodukorra artikli 98
lõikele 1
Saabumise kuupäev:
20. oktoober 2022
Eelotsusetaotluse esitanud kohus:
Nejvyšší správní soud (Tšehhi Vabariigi kõrgeim halduskohus)
Eelotsusetaotluse kuupäev:
12. oktoober 2022
Kaebaja:
RK
Teine menetluspool:
Ministerstvo zdravotnictví (tervishoiuministeerium)
Põhikohtuasja ja eelotsusetaotluse ese
Põhikohtuasi puudutab kaebust, milles kaebaja nõudis, et tühistataks teise
menetluspoole võetud meede1, mille kohaselt kaebaja pidi teatud ruumidesse ja
välisaladele sisenemiseks tõestama nakkuse puudumise tingimuse täitmist2.
1
Tervishoiuministeeriumi 29.12.2021 erakorraline meede nr 14601/2021–34/MIN/KAN
(Mimořádné opatření ze dne 29.12.2021, MZDR 14601/2021–34/MIN/KAN; edaspidi
„erakorraline meede“).
2
(i) Määratletud isikute kategooriate puhul mitte rohkem kui 72 tundi tagasi tehtud negatiivse
tulemusega PCR-test SARS-CoV-2 viiruse esinemise tuvastamiseks või (ii) vähemalt 14 päeva
möödumine kasutusse lubatud vaktsiiniga vaktsineerimise kava lõpetamisest või (iii) COVID-19
haiguse laboratoorselt kinnitatud läbipõdemine eeldusel, et isolatsiooniperiood on läbi ja
esimesest positiivsest testist ei ole möödunud rohkem kui 180 päeva (edaspidi „nakkuse
puudumine“).
ET
EELOTSUSETAOTLUSE KOKKUVÕTE – KOHTUASI C-659/22
Eelotsusetaotluse esitanud kohus tegeleb küsimusega, kas nakkuse puudumise
tingimuse täitmise kontrollimine ELi digitaalse COVID-tõendi alusel3, mida
kasutati riigisiseselt teise menetluspoole kohustusliku mobiilirakenduse abil, on
hõlmatud isikuandmete kaitse üldmääruse sisulise kohaldamisalaga4.
Eelotsuse küsimus
„Kas [digitõendite] määruse kohaselt välja antud koostalitlusvõimeliste COVID-
19 vaktsineerimis-, testimis- ja läbipõdemistõendite kehtivuse kontrollimisel
olukorras, kus Tšehhi Vabariik kasutab neid riigisisestel eesmärkidel, toimub
riigisiseses rakenduses „čTečka“ isikuandmete automatiseeritud töötlemine
[isikuandmete kaitse üldmääruse] artikli 4 punkti 2 tähenduses nii, et see tegevus
on hõlmatud [isikuandmete kaitse üldmääruse] esemelise kohaldamisalaga selle
määruse artikli 2 lõke 1 kohaselt?“
Liidu õigusnormid
Isikuandmete kaitse üldmäärus. Selle määruse puhul viitab eelotsusetaotluse
esitanud kohus artikli 2 lõikele 1 (esemeline kohaldamisala), artikli 4 punktile 1
(isikuandmete mõiste), artikli 4 punktile 2 (isikuandmete töötlemise mõiste),
artikli 4 punktile 15 (terviseandmete mõiste) ja artikli 9 lõikele 1 (isikuandmete
töötlemise keeld).
Digitõendite määrus. Selle määruse puhul viitab eelotsusetaotluse esitanud kohus
artiklile 1 (määruse reguleerimisese) ja artikli 10 lõigetele 1–3 (isikuandmed,
isikuandmete töötlemine ja isikuandmete kaitse määruse kohaldamine).
Liikmesriigi õigusnormid
Pandeemiaseadus5. Selle seaduse § 2 lõike 1 kohaselt võib teine menetluspool
kehtestada erakorralise meetme, mille alusel ta annab korraldusi, keelab või piirab
teatavaid tegevusi või teenuseid COVID-19 viiruse leviku tõkestamiseks.
3
Sertifikaadid, mis on väljaantud vastavalt Euroopa Parlamendi ja nõukogu 14. juuni 2021. aasta
määrusele (EL) 2021/953, millega kehtestatakse koostalitlusvõimeliste COVID-19
vaktsineerimis-, testimis- ja läbipõdemistõendite (ELi digitaalne COVID-tõend) väljaandmise,
kontrollimise ja aktsepteerimise raamistik, et hõlbustada vaba liikumist COVID-19 pandeemia
ajal (edaspidi „digitõendite määrus“).
4
Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määrus (EL) 2016/679 füüsiliste isikute
kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi
95/46/EÜ kehtetuks tunnistamise kohta (edaspidi „isikuandmete kaitse üldmäärus“).
5
Seadus nr 94/2021 erakorraliste meetmete kohta COVID-19 epideemia ajal ja teatavate seotud
seaduste muutmise kohta (Zákon č. 94/2021 Sb., o mimořádných opatřeních při epidemii
onemocnění COVID-19 a o změně některých souvisejících zákonů) (edaspidi
„pandeemiaseadus“) kuni 14. jaanuarini 2022 kehtinud redaktsioonis.
2
Anonüümseks muudetud versioon
MINISTERSTVO ZDRAVOTNICTVÍ (TERVISHOIUMINISTEERIUM)
Kohtuasja asjaolude lühikokkuvõte ja menetluspoolte argumendid
1 Teine menetluspool sätestas erakorralise meetme abil, et alates 3. jaanuarist 2022
peavad isikud, kes soovivad siseneda teatavatesse siseruumidesse või välisaladele
või osaleda massiüritustel ja muus tegevuses, täitma nakkuse puudumise
tingimused. Tõendamaks, et kliendid (vaatajad, osalejad) täidavad neid tingimusi,
kohustas teine menetluspool objektide käitajaid, teenusepakkujaid ja ürituste
korraldajaid kontrollima tingimuste täitmist teise menetluspoole mobiilirakenduse
„čTečka“ abil, et teha usaldusväärsel viisil kindlaks QR-koodi sisaldavate tõendite
ehtsus ja kehtivus.
2 20. jaanuaril 2022 esitas kaebaja selle erakorralise meetme tühistamiseks kaebuse,
milles väitis, et ühendades kontrollikohustuse kohustusega tõendada nakkuse
puudumise tingimuste täitmist, kujutab see meede endast tema isiklike õiguste,
eelkõige õiguse eraelu puutumatusele ülemäärast riivet. Teine menetluspool ei
põhjendanud rakenduse „čTečka“ kasutamise kohustust, samuti ei käsitlenud
isikuandmete kaitse küsimust6 ega nende isikuandmete töötlemise õiguslikult
põhjendatud eesmärki. Pannes isikuandmete töötlemise kohustuse käitajatele ja
klientidele, ei määratlenud teine menetluspool isikuandmete erikategooriate
töötlemise põhimõtteid isikuandmete kaitse üldmääruse tähenduses, sh mainitud
isikute õiguste ja kohustusete ulatust. Kaebuse esitaja hinnangul kujutab nakkuse
puudumise tingimuste kontrollimine endast vähemalt osaliselt isikuandmete
automatiseeritud töötlemist isikuandmete kaitse üldmääruse artikli 2 lõike 1
tähenduses.
3 Teise menetluspoole hinnangul ei saa siin rääkida kaebaja õiguste riivest, sest ta
saab tõendada nakkuse puudumist ka elektroonilise või füüsilise tõendi abil. Teine
menetluspool viitab eelotsusetaotluse esitanud kohtu 28. jaanuari 2022. aasta
otsusele Ao 29/2021–98, nr 4312/2022 Sb., mille kohaselt ei ole tõendi tavapärane
visuaalne kontrollimine hõlmatud isikuandmete kaitse üldmääruse esemelise
kohaldamisalaga, sest selle käigus ei toimu isikuandmete automatiseeritud
töötlemist ja isikuandmete automatiseerimata töötlemise korral ei toimu andmete
kogumist.
4 Vastuses eelotsusetaotluse esitanud kohtu küsimusele märkis teine menetluspool,
et rakendus „čTečka“ on mõeldud digitõendite seaduse kohaselt välja antud
tõendite kontrollimiseks ja nende kehtivuses veendumiseks. Rakenduse
installimise käigus kuvatakse teave, et rakendus töötleb selliste tõendite omanike
isikuandmeid selleks, et volitatud isikud saaksid kõnealuseid tõendeid kontrollida.
5 Täpsemalt, kõnealune rakendus skannib tõendi QR-koodi mobiiltelefoni
fotokaamera abil. Seejärel kuvab rakendus kontrolli läbiviivale isikule tõendi
omaniku peamised isikuandmed (eesnimi, perenimi, sünniaeg) ja tõendi staatuse,
6
Tegemist on andmetega, mis kuvatakse mobiilirakenduses pärast QR-koodi lugemist: eesnimi,
perenimi, sünniaeg ja kodakondsus, teave vaktsineerimise kohta koos kuupäeva ja saadud
vaktsiini liigiga või teave haiguse läbipõdemise või PCR-testi tegemise kohta.
3
Anonüümseks muudetud versioon
EELOTSUSETAOTLUSE KOKKUVÕTE – KOHTUASI C-659/22
st kas see on kehtiv või kehtetu. QR-koodi lugemise käigus kontrollib rakendus
tõendi avalikku võtit ja tõendi kehtivust, võttes arvesse kehtivaid
valideerimsireegleid (rakendus laeb kord 24 tunni jooksul või tellimisel teise
menetluspoole liidesest alla liikmesriikide tõendite avalikud võtmed ja
liikmesriikide valideerimisreeglid). See protsess saab toimuda ka veebiväliselt.
Tellimisel (pärast nupule klõpsamist) kuvab rakendus kogu tõendis sisalduva
teabe (näiteks vaktsineerimine, vaktsiini tüüp, vaktsiini tootja, dooside arv,
vaktsineerimise kuupäev, esimese positiivse testitulemuse kuupäev, ELi
liikmesriik, tõendi väljastaja, tõendi tuvastusandmed). Rakendus ei salvesta seda
teavet ega saada seda kuhugi. Rakendus kuvab teabe ainult hetkeks mobiiltelefoni
ekraanil.
Eelotsuse küsimuse analüüs
6 Eelotsusetaotluse esitanud kohtu hinnangul ei ole kahtlust, et tõendites sisalduvad
andmed on isikuandmed isikuandmete kaitse üldmääruse artikli 4 punkti 1
tähenduses. Tšehhi Vabariik väljastab QR-koodiga tõendeid vastavat komisjoni
otsusele digitõendite määruse rakendamise kohta.
7 Tekkib küsimus, kas isikuandmete töötlemist isikuandmete kaitse üldmääruse
tähenduses tuleb tõlgendada nii laialt, et see hõlmab ka QR-koodi skannimist ja
teabe kuvamist ehk isikuandmetega seotud toimingut, mille käigus need
teisendatakse inimese jaoks loetavasse vormi ja muudetakse mobiiltelefonis
nähtavaks. Kõnealune teisendamine toimub automatiseeritud protsessi ehk
rakenduse abil. Reaalsuses on tegemist on tavapärase lugemistoiminguga, mille
käigus isikuandmeid mingil viisil ei töödelda ja ei teki nende kuritarvitamise ohtu.
See tähendab andmete tavapärast teisendamist masinloetavast vormist inimesele
loetavasse vormi ja nende kuvamist mobiiltelefonis. Sellisel juhul saaks
töötlemiseks lugeda igasuguse elektroonilises seadmes tehtava toimingu, mille
käigus loetakse mistahes koodi ja kuvatakse see elektroonilises seadmes, isegi kui
seda edasi ei töödelda (nt QR-koodi lugemine visiitkaartidelt, andmete lugemine
ID-kaardi, passi või viisa masinloetavalt alalt).
8 Kui eelmises punktis kirjeldatud toimigu puhul ei toimu isikuandmete töötlemist,
tekkib küsimus, kas isikuandmete töötlemine võib toimuda hetkel, kui kontrolli
läbiviiv isik vaatab kõnelause rakenduse abil mobiiltelefonis kuvatud andmeid. On
selge, et tõendi ‒ kas paberkandjal või elektroonilisel kujul ‒ vaatamine ei ole
hõlmatud isikuandmete kaitse üldmääruse esemelise kohaldamisalaga. Tegemist ei
ole isikuandmete automatiseeritud töötlemisega ja automatiseerimata töötlemise
korral ei ole täidetud sel viisil kindlaks tehtud isikuandmete kogumise tingimus.
Ei saa aga olla kindel, et isikuandmete automatiseeritud töötlemist ei toimu
hiljem, kui kontrolli läbiviiv isik näeb neid rakenduse „čTečka“ abil pärast QR-
koodi skannimist. Eelotsusetaotluse esitanud kohtu hinnangul ei saa isikuandmete
töötlemiseks pidada ainult nende isikuandmete vaatamist, mille isik on saanud
rakendusest QR-koodi abil (ehk masinandmete inimese jaoks loetavase vormi
teisendamise tulemusel), kui ei toimu nende andmete edasist töötlemist (näiteks
4
Anonüümseks muudetud versioon
MINISTERSTVO ZDRAVOTNICTVÍ (TERVISHOIUMINISTEERIUM)
salvestamist või kuhugi saatmist). Selles suhtes ei erine olukord kuidagi
pabertõendi kontrollimisest.
9 Isikuandmete töötlemiseks võiks lugeda tõendi kehtivuse kontrollimist rakenduse
„čTečka“ abil, kuivõrd selle käigus võrreldakse isiku tervislikku seisundit
puudutavaid andmeid (nt vaktsineerimise kuupäev, vaktsiini liik) kehtivate
valideerimisreeglitega, mida rakendus regulaarselt alla laadib. Neid andmeid ei
kasutata aga mingil muul eesmärgil kui kõnealune võrdlemine,
valideerimisreegleid aga kasutatakse ka olukorras, kus tõendeid kontrollitakse
ainult visuaalselt. Lisaks ei puuduta need reeglid konkreetset isikut vaid ainult nn
nakkuse puudumise andmeid.
10 Kui ka eelmises punktis kirjeldatud juhul ei toimu isikuandmete töötlemist, tekib
küsimus, kas isikuandmete töötlemisena võiks käsitleda kooslust kõigist
ülaltoodud toimingutest, mis leiavad aset tõendite kontrollimisel rakenduse
„čTečka“ abil, nimelt (i) isikuandmete teisendamine QR-koodist inimese jaoks
loetavasse vormi ja nende kuvamine mobiiltelefonis, (ii) andmete vaatamine
kontrolli läbiviiva isiku poolt ja (iii) tõendi kehtivuse kontrollimine rakenduse
poolt ehk tervislikku seisundit puudutavate isikuandmete võrdlemine
valideerimisreeglitega.
11 Eelotsusetaotluse esitanud kohus kaldub seisukoha poole, et kõik need toimingud
koos kujutavad endast isikuandmete töötlemist. Seda järeldust toetavad ka
digitõendite määruse artikli 10 lõiked 1–3. Kuigi Tšehhi Vabariik kasutab selle
määruse kohaselt väljastatud tõendeid seoses riigisiseselt kehtestatud erakorralise
meetmega (nakkuse puudumise tingimuste kontrollimine), on soovitav, et
tõendites sisalduvate isikuandmete töötlemise suhtes kohaldataks ühtset
õigussüsteemi, nagu piiriülese veo puhul. Seda tõlgendust toetab ka digitõendite
määruse põhjendus 48.
12 Eelotsusetaotluse esitanud kohtu hinnangul luges Euroopa Kohus oma 27. aprilli
2022. aasta otsuses Roos jt vs. parlament, T-710/21, T-722/21 ja T-723/21,
EU:T:2022:262, tunnistuste kontrollimise selleks volitatud Euroopa Parlamendi
töötajate poolt riigisiseste rakenduste „CovidScanB“ ja „Covidcheck.lu“7 abil
isikuandmete töötlemiseks määruse 2018/1725 artikli 3 punkti 3 tähenduses8, mis
määratleb isikuandmete töötlemise samal viisil kui isikuandmete kaitse
üldmääruse artikli 4 punkt 2. Viidatud otsuses tugines Euroopa Kohus9 Euroopa
Andmekaitseinspektori dokumendile, milles inspektor asus seisukohale, et
7
Need rakendused toimivad sarnasel põhimõttel kui rakendus „čTečka“.
8
Euroopa Parlamendi ja nõukogu 23. oktoobri 2018. aasta määrus (EL) 2018/1725, mis käsitleb
füüsiliste isikute kaitset isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes
ning isikuandmete vaba liikumist, ning millega tunnistatakse kehtetuks määrus (EÜ) nr 45/2001
ja otsus nr 1247/2002/EÜ (edaspidi „määrus 2018/1725“).
9
Return to the Workplace and EUIs’ screening of COVID immunity or infection status |
European Data Protection Supervisor (europa.eu)
5
Anonüümseks muudetud versioon
EELOTSUSETAOTLUSE KOKKUVÕTE – KOHTUASI C-659/22
tõendite digitaalne kontrollimine, mis hõlmab QR-koodi lugemist, kujutab endast
isikuandmete töötlemist määruse 2018/1725 artikli 3 punkti 3 tähenduses.
13 Eelotsuse küsimust ei ole aga Euroopa Kohtu senises praktikas lahendatud ja
sellest kohtupraktikast ei nähtu, kui laialt tuleks tõlgendada isikuandmete
töötlemise mõistet isikuandmete kaitse üldmääruse artikli 4 punkti 2 kohaselt.
6
Anonüümseks muudetud versioon
Vastuvõtmise kuupäev : 29/11/2022
EUROOPA LIIDU KOHUS
24/11/22
Kantselei
Välisministeerium
Islandi väljak 1
15049 Tallinn
EESTI/ESTONIA
1240600.6 CS
Eelotsusetaotlus C-659/22
Ministerstvo zdravotnictví
(Eelotsusetaotluse esitanud kohus: Nejvyšší správní soud - Tšehhi Vabariik)
Eelotsusetaotluse kättetoimetamine
Euroopa Kohtu kohtusekretär edastab Teile käesolevaga eespool nimetatud kohtuasjas ELTL
artikli 267 alusel esitatud eelotsusetaotluse ärakirja.
Vastavalt protokolli Euroopa Liidu Kohtu põhikirja kohta artikli 23 teisele lõigule koostoimes
Euroopa Kohtu kodukorra artikliga 51 on liikmesriigi kohtu menetluses oleva kohtuasja pooltel,
liikmesriikidel, komisjonil ja vajaduse korral ka liidu institutsioonil, organil või asutusel, mis on
vastu võtnud õigusakti, mille kehtivus või tõlgendamine on vaidlustatud, õigus esitada
eelotsusetaotluse kohta Euroopa Kohtule kirjalikke seisukohti kahe kuu ja kümne päeva jooksul
alatest käesoleva teate kättesaamisest, kusjuures seda tähtaega ei pikendata.
Lisaks sellele võivad põhikirja artikli 23 kolmanda lõigu kohaselt teised Euroopa
Majanduspiirkonna lepingu osalisriigid, kes ei ole liikmesriigid, samuti EFTA järelevalveasutus
esitada juhul, kui küsimuse all on mõni kõnealuse lepingu reguleerimisaladest, Euroopa Kohtule
kirjalikke seisukohti samasuguse mittepikendatava kahe kuu ja kümne päeva pikkuse tähtaja
jooksul.
Põhikirja artikli 23 neljandas lõigus on veel ette nähtud, et kui nõukogu ning ühe või mitme
kolmanda riigi vahelises teatavat küsimust käsitlevas kokkuleppes on sätestatud, et need riigid
võivad esitada seisukohti või kirjalikke tähelepanekuid juhul, kui mõne liikmesriigi kohus taotleb
Euroopa Kohtu eelotsust kõnealuse kokkuleppe reguleerimisalasse kuuluvas küsimuses, võivad
kolmandad riigid esitada Euroopa Kohtule kirjalikke seisukohti samasuguse mittepikendatava kahe
kuu ja kümne päeva pikkuse tähtaja jooksul.
Kohtusekretär juhib teie tähelepanu sellele, et kohtuasjaga seotud dokumendid tuleb toimikusse
lisamiseks esitada menetluse kirjaliku osa jooksul.
Telefon : (352) 43031 Kirjad saata aadressile:
Faks : (352) 433766 Euroopa Liidu Kohus
E-mail :
[email protected] Kantselei
Internetiaadress : http://www.curia.europa.eu L - 2925 LUXEMBOURG
-2-
Juhime Teie tähelepanu menetlusdokumentide pikkust, vormi ja esitusviisi puudutavatele
juhistele, mis sisalduvad aktis Praktilised juhised pooltele seoses Euroopa Kohtule esitatavate
kohtuasjadega, mis on kättesaadav Euroopa Kohtu veebisaidil (www.curia.europa.eu) rubriigis
„Euroopa Kohus – Menetlus“.
Manuela Ferreira
Vanemametnik