UNIONIN TUOMIOISTUIMEN TUOMIO (suuri jaosto)
9 päivänä maaliskuuta 2010 (*)
Jäsenyysvelvoitteiden noudattamatta jättäminen – Direktiivi 95/46/EY – Yksilöiden suojelu henkilötietojen käsittelyssä ja näiden tietojen vapaa liikkuvuus – 28 artiklan 1 kohta – Kansalliset valvontaviranomaiset – Itsenäisyys – Näihin viranomaisiin kohdistettu hallinnollinen valvonta
Asiassa C‑518/07,
jossa on kyse EY 226 artiklaan perustuvasta jäsenyysvelvoitteiden noudattamatta jättämistä koskevasta kanteesta, joka on nostettu 22.11.2007,
Euroopan komissio, asiamiehinään C. Docksey, C. Ladenburger ja H. Krämer, prosessiosoite Luxemburgissa,
kantajana,
jota tukee
Euroopan tietosuojavaltuutettu, asiamiehinään H. Hijmans ja A. Scirocco, prosessiosoite Luxemburgissa,
väliintulijana,
vastaan
Saksan liittotasavalta, asiamiehinään M. Lumma ja J. Möller, prosessiosoite Luxemburgissa,
vastaajana,
UNIONIN TUOMIOISTUIN (suuri jaosto),
toimien kokoonpanossa: presidentti V. Skouris, jaostojen puheenjohtajat A. Tizzano, J. N. Cunha Rodrigues, K. Lenaerts, J.-C. Bonichot ja E. Levits sekä tuomarit A. Rosas, K. Schiemann (esittelevä tuomari), J.-J. Kasel, M. Safjan ja D. Šváby,
julkisasiamies: J. Mazák,
kirjaaja: R. Grass,
ottaen huomioon kirjallisessa käsittelyssä esitetyn,
kuultuaan julkisasiamiehen 12.11.2009 pidetyssä istunnossa esittämän ratkaisuehdotuksen,
on antanut seuraavan
tuomion
1 Euroopan yhteisöjen komissio vaatii kanteessaan unionin tuomioistuinta toteamaan, että Saksan liittotasavalta ei ole noudattanut yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY (EYVL L 281, s. 31) 28 artiklan 1 kohdan toisen alakohdan mukaisia velvoitteitaan, kun se on asettanut valtion valvonnan alaiseksi valvontaviranomaiset, jotka ovat toimivaltaisia valvomaan henkilötietojen käsittelyä muulla kuin julkisella sektorilla eri osavaltioissa, ja pannut näin ollen virheellisesti täytäntöön näiden tietojen suojan takaamisesta vastaavien viranomaisten ”täydellisen itsenäisyyden” vaatimuksen.
Asiaa koskevat oikeussäännöt
Yhteisön säännöstö
2 Direktiivi 95/46 annettiin EY:n perustamissopimuksen 100 a artiklan (josta tuli muutettuna EY 95 artikla) nojalla, ja sen tarkoituksena on henkilötietojen käsittelyä koskevan kansallisen lainsäädännön yhdenmukaistaminen.
3 Direktiivin 3, 7, 8, 10 ja 62 perustelukappaleessa todetaan seuraavaa:
”(3) sellaisten sisämarkkinoiden toteuttaminen ja toiminta, joilla taataan tavaroiden, henkilöiden, palvelujen ja pääomien vapaa liikkuvuus [EY:n] perustamissopimuksen 7 a artiklan [(josta on muutettuna tullut EY 14 artikla)] mukaisesti, edellyttävät paitsi sitä, että henkilötietoja voidaan vapaasti siirtää jäsenvaltioiden sisällä, myös yksilöiden perusoikeuksien turvaamista;
– –
(7) henkilötietojen käsittelyä koskevat jäsenvaltioiden väliset erot yksilöiden oikeuksien ja vapauksien suojassa, erityisesti oikeudessa yksityisyyteen, voivat estää kyseisten tietojen siirron tietyn jäsenvaltion alueelta toisen jäsenvaltion alueelle; tämän vuoksi nämä erot voivat muodostua esteeksi monelle yhteisön taloudelliselle toiminnalle, vääristää kilpailua ja estää viranomaisia suorittamasta yhteisön oikeuden mukaisia velvollisuuksiaan; nämä suojaa koskevat erot johtuvat kansallisten lakien, asetusten ja hallinnollisten määräysten välisistä eroista;
(8) henkilötietojen liikkuvuuden esteiden poistamiseksi yksilöiden oikeuksien ja vapauksien suojan tason kyseisten tietojen käsittelyssä on oltava sama kaikissa jäsenvaltioissa; ottaen huomioon erityisesti asiaan sovellettavien kansallisten lainsäädäntöjen tämänhetkiset eroavaisuudet ja tarve yhteensovittaa jäsenvaltioiden lainsäädännöt, jotta henkilötietojen kansainvälistä kulkua säänneltäisiin yhdenmukaisella tavalla ja perustamissopimuksen 7 a artiklassa tarkoitetun sisämarkkinoiden tavoitteen mukaisesti, tätä sisämarkkinoiden kannalta erityisen tärkeää tavoitetta ei voida saavuttaa ainoastaan jäsenvaltioiden toiminnalla; tämän vuoksi lainsäädäntöjen lähentämiseen pyrkivä yhteisön toiminta on tarpeen;
– –
(10) henkilötietojen käsittelyä koskevien kansallisten lainsäädäntöjen tavoitteena on taata perusoikeuksien ja -vapauksien kunnioittaminen, erityisesti yksityisyyttä koskevan oikeuden kunnioittaminen, joka tunnustetaan myös ihmisoikeuksien ja perusvapauksien suojaamiseksi tehdyn [Roomassa 4.11.1950 allekirjoitetun] Euroopan yleissopimuksen 8 artiklassa ja yhteisön oikeuden yleisissä periaatteissa; tämän vuoksi lainsäädäntöjen lähentäminen ei saa johtaa lainsäädännöllä turvattavan tietosuojan heikentymiseen, vaan sillä on päinvastoin varmistettava tietosuojan korkea taso yhteisössä;
– –
(62) jäsenvaltioissa itsenäisesti toimivien valvontaviranomaisten perustaminen on keskeinen tekijä yksilöiden suojelussa henkilötietojen käsittelyssä.”
4 Direktiivin 95/46 1 artiklassa, jonka otsikko on ”Direktiivin tavoite”, säädetään seuraavaa:
”1. Tämän direktiivin mukaisesti jäsenvaltioiden on henkilötietojen käsittelyssä turvattava yksilöille heidän perusoikeutensa ja -vapautensa ja erityisesti heidän oikeutensa yksityisyyteen.
2. Jäsenvaltiot eivät voi rajoittaa tai kieltää henkilötietojen vapaata liikkuvuutta jäsenvaltioiden välillä syistä, jotka liittyvät 1 kohdan mukaisesti turvattavaan suojaan.”
5 Direktiivin 95/46 28 artiklassa, jonka otsikko on ”Valvontaviranomainen”, säädetään seuraavaa:
”1. Kunkin jäsenvaltion on säädettävä siitä, että jäsenvaltioiden tämän direktiivin mukaisesti toteuttamien toimenpiteiden soveltamista sen alueella valvoo yksi tai useampi julkinen viranomainen.
Näiden viranomaisten on hoidettava tehtäviään itsenäisesti.
2. Kunkin jäsenvaltion on säädettävä siitä, että valvontaviranomaisia kuullaan henkilöiden oikeuksien ja vapauksien suojaamista henkilötietojen käsittelyssä koskevia lainsäädännöllisiä ja hallinnollisia toimenpiteitä suunniteltaessa.
3. Kullakin valvontaviranomaisella on erityisesti oltava:
– tutkintavaltuudet, kuten valtuudet saada käsiteltäviä tietoja ja kerätä kaikki valvontatehtävänsä suorittamiseksi tarvittavat tiedot,
– tehokkaat toimintavaltuudet, kuten esimerkiksi valtuudet 20 artiklan mukaisesti antaa lausuntoja ennen käsittelyn toteuttamista ja varmistaa näiden lausuntojen asianmukainen julkistaminen taikka valtuudet määrätä tietojen suojaamisesta, poistamisesta tai tuhoamisesta tai kieltää käsittely väliaikaisesti tai lopullisesti taikka valtuudet antaa rekisterinpitäjälle huomautus tai varoitus taikka valtuudet saattaa asioita käsiteltäväksi kansalliselle parlamentille tai muille poliittisille elimille,
– valtuudet olla asianosaisena oikeudenkäynnissä, jos tämän direktiivin mukaisesti toteutettuja kansallisia toimenpiteitä rikotaan, tai valtuudet saattaa nämä rikkomukset lainkäyttöviranomaisten tietoon.
Valvontaviranomaisen päätöksistä, jotka antavat aihetta valituksiin, voi valittaa tuomioistuimeen.
4. Kuka tahansa henkilö tai häntä edustava yhdistys voi esittää valvontaviranomaiselle oikeuksiensa ja vapauksiensa suojelua henkilötietojen käsittelyn osalta koskevan vaateen. Rekisteröidylle ilmoitetaan vaateen seurauksista.
Kuka tahansa henkilö voi erityisesti esittää valvontaviranomaiselle vaateen käsittelyn laillisuuden tarkastamisesta sovellettaessa tämän direktiivin 13 artiklan mukaisesti toteutettuja kansallisia toimenpiteitä. Joka tapauksessa henkilölle on ilmoitettava, että tarkastus on suoritettu.
5. Valvontaviranomaisen on laadittava kertomus toiminnastaan säännöllisin väliajoin. Kyseinen kertomus on julkistettava.
6. Riippumatta kyseessä olevaan käsittelyyn sovellettavasta kansallisesta oikeudesta valvontaviranomainen on toimivaltainen käyttämään jäsenvaltionsa alueella valtuuksia, jotka sille kuuluvat 3 kohdan mukaisesti. Toisen jäsenvaltion viranomainen voi pyytää valvontaviranomaista käyttämään valtuuksiaan.
Valvontaviranomaisten on oltava yhteistyössä keskenään siinä määrin kuin on tarpeen tehtäviensä suorittamiseksi, erityisesti vaihtamalla hyödyllisiä tietoja.
7. Jäsenvaltioiden on säädettävä siitä, että valvontaviranomaisten jäsenillä ja henkilöstöllä on myös toimintansa päättymisen jälkeen velvollisuus pitää salassa luottamukselliset tiedot.”
6 Yksilöiden suojelusta yhteisöjen toimielinten ja elinten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 18.12.2000 annettu Euroopan parlamentin ja neuvoston asetus (EY) N:o 45/2001 (EYVL 2001, L 8, s. 1) annettiin EY 286 artiklan nojalla. Tämän asetuksen 44 artiklan 1 ja 2 kohdassa säädetään seuraavaa:
”1. Euroopan tietosuojavaltuutettu hoitaa tehtäviään täysin riippumattomana.
2. Tehtäviään hoitaessaan Euroopan tietosuojavaltuutettu ei pyydä eikä ota ohjeita miltään taholta.”
Kansallinen säännöstö
7 Saksan lainsäädännössä tehdään ero siltä osin kuin kysymys on yksilöiden suojelusta henkilötietojen käsittelyssä sen mukaan, käsittelevätkö tietoja julkiset elimet vai eivät.
8 Yhtäältä sen valvominen, että julkiset elimet noudattavat tämän alan säännöksiä ja määräyksiä, ja toisaalta sen valvominen, että muut kuin julkiset elimet ja julkisoikeudelliset yritykset, jotka osallistuvat kilpailuun markkinoilla (öffentlich-rechtliche Wettbewerbsunternehmen) (jäljempänä yhdessä muu kuin julkinen sektori) noudattavat niitä, ovat näet eri viranomaisten tehtävänä.
9 Liittovaltion julkisten elinten suorittamaa henkilötietojen käsittelyä valvoo Bundesbeauftragter für den Datenschutz und die Informationsfreiheit (tietosuojan ja vapaan tiedonvälityksen liittovaltionvaltuutettu), ja osavaltioiden julkisten elinten osalta sitä valvovat Landesdatenschutzbeauftragte (osavaltion tietosuojavaltuutetut). Kaikki nämä valtuutetut ovat vastuussa ainoastaan kukin parlamentilleen, eikä heidän valvontaansa asetetuilla julkisilla elimillä tavallisesti ole heihin nähden valvontavaltaa, ohjeidenantovaltaa eikä muuta vaikutusvaltaa.
10 Muun kuin julkisen sektorin suorittaman henkilötietojen käsittelyn valvonnasta vastaavien viranomaisten rakenne sitä vastoin vaihtelee osavaltioittain. Osavaltioiden laeille on kuitenkin yhteistä se, että niissä nimenomaisesti asetetaan nämä viranomaiset valtion valvonnan alaisuuteen.
Oikeudenkäyntiä edeltänyt menettely ja oikeudenkäynti unionin tuomioistuimessa
11 Koska komissio katsoi, että sellaisten viranomaisten, joiden tehtävänä on valvoa yksityishenkilöiden suojelua koskevien säännösten noudattamista muun kuin julkisen sektorin suorittamassa henkilötietojen käsittelyssä, asettaminen valtion valvonnan alaisuuteen – kuten kaikissa Saksan osavaltioissa – on direktiivin 95/46 28 artiklan 1 kohdan toisen alakohdan vastaista, se osoitti 5.7.2005 Saksan liittotasavallalle virallisen huomautuksen. Viimeksi mainittu vastasi 12.9.2005 päivätyllä kirjeellä todeten, että alan valvontajärjestelmä Saksassa on kyseisen direktiivin vaatimusten mukainen. Komissio osoitti tämän jälkeen 12.12.2006 Saksan liittotasavallalle perustellun lausunnon, jossa se toisti aiemmin esittämänsä väitteen. Saksan liittotasavalta toisti 14.2.2007 päivätyssä vastauksessaan alkuperäisen näkemyksensä.
12 Näissä olosuhteissa komissio päätti nostaa nyt käsiteltävänä olevan kanteen.
13 Yhteisöjen tuomioistuimen presidentin 14.10.2008 antamalla määräyksellä Euroopan tietosuojavaltuutettu hyväksyttiin asiassa väliintulijaksi tukemaan komission vaatimuksia.
Kanne
Asianosaisten ja muiden osapuolten lausumat
14 Käsiteltävänä olevassa asiassa on kysymys kahdesta vastakkaisesta näkemyksestä, jotka komissiolla, jota Euroopan tietosuojavaltuutettu tukee, ja Saksan liittotasavallalla on direktiivin 95/46 28 artiklan 1 kohdan toisessa alakohdassa esiintyvästä ilmaisusta ”itsenäisesti” ja yksilöiden suojelusta henkilötietojen käsittelyssä vastaavien valvontaviranomaisten tehtävien hoitamisesta.
15 Komissio ja Euroopan tietosuojavaltuutettu, jotka tulkitsevat laajasti ilmaisua ”itsenäisesti”, katsovat, että vaatimusta siitä, että valvontaviranomaisten on hoidettava tehtäväänsä itsenäisesti, on tulkittava siten, että valvontaviranomaisia on varjeltava kaikelta vaikuttamiselta, oli se sitten lähtöisin muilta viranomaisilta tai hallinnon ulkopuolisilta tahoilta. Valtion valvonta, jonka alaiseksi Saksassa on asetettu viranomaiset, jotka valvovat yksilöiden suojelua henkilötietojen käsittelyssä koskevan säännöstön noudattamista muulla kuin julkisella sektorilla, merkitsee, että tätä vaatimusta ei ole noudatettu.
16 Saksan liittotasavalta puolestaan puoltaa ilmaisun ”itsenäisesti” suppeampaa tulkintaa ja katsoo, että direktiivin 95/46 28 artiklan 1 kohdan toisessa alakohdassa edellytetään valvontaviranomaisten toiminnallista itsenäisyyttä siten, että näiden viranomaisten on oltava riippumattomia valvontansa kohteena olevasta muusta kuin julkisesta sektorista ja että ne eivät saa olla alttiina ulkopuoliselle vaikuttamiselle. Sen mukaan valtion Saksan osavaltioissa harjoittama valvonta ei sellaisenaan ole ulkopuolista vaikuttamista vaan hallinnon sisäinen valvontamekanismi, jonka täytäntöönpanijoina ovat valvontaviranomaisten kanssa samaan hallintokoneistoon kuuluvat viranomaiset, joiden on ensin mainittujen tavoin täytettävä direktiivin 95/46 tavoitteet.
Unionin tuomioistuimen arviointi asiasta
Valvontaviranomaisten itsenäisyyttä koskevan vaatimuksen ulottuvuus
17 Käsiteltävänä olevan kanteen perusteltavuus riippuu direktiivin 95/46 28 artiklan 1 kohdan toisessa alakohdassa tarkoitetun itsenäisyyden vaatimuksen ulottuvuudesta ja näin ollen tämän säännöksen tulkinnasta. Tässä yhteydessä on otettava huomioon itse säännöksen sanamuoto sekä direktiivin 95/46 tavoitteet ja rakenne.
18 Siltä osin kuin ensiksi on kysymys direktiivin 95/46 28 artiklan 1 kohdan toisen alakohdan sanamuodosta on todettava, että koska siinä ei ole määritelty ilmaisua ”itsenäisesti”, ilmaisu on ymmärrettävä tavanomaisessa merkityksessään. Julkisen elimen kannalta itsenäisyys tarkoittaa tavallisesti asemaa, joka takaa kyseiselle elimelle mahdollisuuden toimia täysin vapaasti suojattuna kaikilta ohjeilta ja kaikelta painostukselta.
19 Toisin kuin Saksan liittotasavalta katsoo, mikään ei osoita, että itsenäisyyden vaatimus koskisi ainoastaan valvontaviranomaisten ja niiden valvontaan asetettujen elinten välistä suhdetta. Päinvastoin itsenäisyyden käsitettä on direktiivin ranskankielisessä versiossa vahvistettu adverbilla [”toute”] [suomeksi ”täysin”; puuttuu direktiivin suomenkielisestä versiosta], mikä merkitsee päätösvaltaa, joka on suojattu kaikelta valvontaviranomaisen ulkopuoliselta vaikuttamiselta, oli se sitten suoraa tai välillistä.
20 Siltä osin kuin toiseksi on kysymys direktiivin 95/46 tavoitteista erityisesti direktiivin johdanto-osan kolmannesta, seitsemännestä ja kahdeksannesta perustelukappaleesta seuraa, että kun direktiivillä yhdenmukaistetaan yksilöiden suojelua henkilötietojen käsittelyssä koskevia kansallisia sääntöjä, sillä pyritään pääasiallisesti varmistamaan henkilötietojen vapaa liikkuvuus yhteisössä (ks. vastaavasti yhdistetyt asiat C-465/00, C-138/01 ja C-139/01, Österreichischer Rundfunk ym., tuomio 20.5.2003, Kok., s. I-4989, 39 ja 70 kohta), mikä on tarpeen EY 14 artiklan 2 kohdassa tarkoitettujen sisämarkkinoiden perustamisen ja toiminnan kannalta.
21 Henkilötietojen vapaa liikkuvuus voi kuitenkin vahingoittaa yksityisyyden suojaa, sellaisena kuin se on tunnustettu erityisesti ihmisoikeuksien ja perusvapauksien suojaamiseksi tehdyn yleissopimuksen 8 artiklassa (ks. vastaavasti asia Amann v. Sveitsi, Euroopan ihmisoikeustuomioistuimen tuomio 16.2.2000, Recueil des arrêts et décisions 2000-II, 69 ja 80 § ja asia Rotaru v. Romania, Euroopan ihmisoikeustuomioistuimen tuomio 4.5.2000, Recueil des arrêts et décisions 2000-V, 43 ja 46 §) ja yhteisön oikeuden yleisissä periaatteissa.
22 Tästä syystä ja kuten erityisesti direktiivin 95/46 kymmenennestä perustelukappaleesta ja 1 artiklasta ilmenee, direktiivillä ei myöskään pyritä heikentämään olemassa olevilla kansallisilla säännöillä annettavaa suojaa vaan päinvastoin takaamaan yhteisössä perusvapauksien ja -oikeuksien suojan korkea taso henkilötietojen käsittelyssä (ks. vastaavasti em. yhdistetyt asiat Österreichischer Rundfunk ym., tuomion 70 kohta ja asia C-73/07, Satakunnan Markkinapörssi ja Satamedia, tuomio 16.12.2008, Kok., s. I-9831, 52 kohta).
23 Direktiivin 95/46 28 artiklassa tarkoitetut valvontaviranomaiset ovat siis näiden perusoikeuksien ja -vapauksien vartijoita, ja niiden perustamista jäsenvaltioissa pidetään, kuten tämän direktiivin 62 perustelukappaleesta ilmenee, keskeisenä tekijänä yksilöiden suojelussa henkilötietojen käsittelyssä.
24 Tämän suojelun varmistamiseksi valvontaviranomaisten on huolehdittava siitä, että yhtäältä oikeutta yksityisyyteen koskevan perusoikeuden kunnioittamisen ja toisaalta henkilötietojen vapaata liikkuvuutta edellyttävien intressien välillä saavutetaan oikea tasapaino. Direktiivin 95/46 28 artiklan 6 kohdan nojalla eri kansallisten viranomaisten on lisäksi oltava yhteistyössä keskenään ja tarvittaessa käytettävä valtuuksiaan toisen jäsenvaltion viranomaisen pyynnöstä.
25 Kansallisten valvontaviranomaisten itsenäisyyden takaamisella pyritään varmistamaan yksilöiden suojelua henkilötietojen käsittelyssä koskevien säännösten ja määräysten noudattamisen valvonnan tehokkuus ja luotettavuus, ja sitä on tulkittava tämän tavoitteen valossa. Sitä ei ole otettu käyttöön sen vuoksi, että itse näille viranomaisille tai niiden toimihenkilöille annettaisiin erityinen asema, vaan sen vuoksi, että niille henkilöille ja elimille, joita niiden päätökset koskevat, annettavaa suojaa vahvistettaisiin. Tästä seuraa, että valvontaviranomaisten on tehtäviään hoitaessaan toimittava objektiivisesti ja puolueettomasti. Tässä tarkoituksessa niiden on oltava suojattuna kaikelta ulkopuoliselta vaikuttamiselta, myös suoralta tai välilliseltä vaikuttamiselta valtion tai osavaltioiden taholta, ei ainoastaan valvottavien elinten taholta.
26 Siltä osin kuin kolmanneksi on kysymys direktiivin 95/46 rakenteesta, direktiivi on ymmärrettävä EY 286 artiklaa ja asetusta N:o 45/2001 vastaavaksi. Viimeksi mainitut koskevat yhteisön toimielinten ja elinten suorittamaa henkilötietojen käsittelyä ja näiden tietojen vapaata liikkuvuutta. Kyseisellä direktiivillä pyritään myös näihin tavoitteisiin mutta siltä osin kuin kysymys on näiden tietojen käsittelystä jäsenvaltioissa.
27 Samoin kuin kansallisella tasolla on valvontaelimiä myös yhteisön tasolla on säädetty yksilöiden suojelusta henkilötietojen käsittelyssä vastaavasta valvontaelimestä eli Euroopan tietosuojavaltuutetusta. Asetuksen N:o 45/2001 44 artiklan 1 kohdan mukaan tämä elin hoitaa tehtäviään täysin riippumattomana. Kyseisen artiklan 2 kohdassa selkeytetään tämä riippumattomuuden käsite lisäämällä, että tehtäviään hoitaessaan Euroopan tietosuojavaltuutettu ei pyydä eikä ota ohjeita miltään taholta.
28 Kun otetaan huomioon, että asetuksen N:o 45/2001 44 artikla ja direktiivin 95/46 28 artikla perustuvat samaan yleiskäsitteeseen, näitä kahta säännöstä on tulkittava yhteneväisesti siten, että sekä Euroopan tietosuojavaltuutetun että kansallisten viranomaisten riippumattomuus tarkoittavat niiden tehtävien hoitamista koskevien ohjeiden poissulkemista.
29 Kun nojaudutaan itse direktiivin 95/46 28 artiklan 1 kohdan toisen alakohdan sanamuotoon sekä direktiivin tavoitteisiin ja rakenteeseen, päästään kyseisen 28 artiklan 1 kohdan toisen alakohdan selkeään tulkintaan. Tämän vuoksi on tarpeetonta ottaa huomioon kyseisen direktiivin syntyhistoriaa tai lausua komission ja Saksan liittotasavallan tältä osin esittämistä ristiriitaisista toteamuksista.
30 Kun otetaan huomioon kaikki edellä esitetty, direktiivin 95/46 28 artiklan 1 kohdan toista alakohtaa on tulkittava siten, että valvontaviranomaisten, jotka ovat toimivaltaisia valvomaan henkilötietojen käsittelyä muulla kuin julkisella sektorilla, on oltava itsenäisiä siten, että ne voivat suorittaa tehtävänsä vapaina ulkoisesta vaikuttamisesta. Tämä itsenäisyys sulkee pois paitsi kaiken vaikuttamisen valvonnan kohteena olevien elinten taholta myös kaikki sellaiset määräykset ja kaiken muun ulkoisen vaikuttamisen, olipa se sitten suoraa tai välillistä, jotka saattaisivat asettaa kyseenalaiseksi sen, että nämä viranomaiset täyttävät tehtävänsä, joka on oikean tasapainon saavuttaminen yksityisyyden suojan ja henkilötietojen vapaan liikkuvuuden välillä.
Valtion valvonta
31 Tämän jälkeen on syytä tarkastella, onko valtion valvonta, jonka alaiseksi Saksassa on asetettu valvontaviranomaiset, jotka valvovat muun kuin julkisen sektorin suorittamaa henkilötietojen käsittelyä, yhteensopiva tällä tavoin täsmennetyn itsenäisyyden vaatimuksen kanssa.
32 Tältä osin on todettava, että valtion valvonta, olipa se minkä luonteista hyvänsä, mahdollistaa lähtökohtaisesti sen, että asianomaisen osavaltion hallitus tai tämän hallituksen alainen hallintoelin vaikuttaa suoraan tai välillisesti valvontaviranomaisen päätöksiin tai tarvittaessa kumoaa ja korvaa nämä päätökset.
33 On tosin lähtökohtaisesti myönnettävä, kuten Saksan liittotasavalta väittää, että valtion valvonnan tarkoituksena on vain taata, että valvontaviranomaisten toiminta on sovellettavien kansallisen oikeuden ja yhteisön oikeuden säännösten ja määräysten mukaista, ja että sen tavoitteena ei näin ollen ole pakottaa näitä viranomaisia mahdollisesti pyrkimään sellaisiin poliittisiin päämääriin, jotka ovat vastoin yksilöiden suojelua henkilötietojen käsittelyssä ja vastoin perusoikeuksia.
34 Ei kuitenkaan voida pitää poissuljettuna sitä, että valtion valvovat viranomaiset, jotka ovat osa yleistä hallintoa ja ovat näin ollen kukin osavaltionsa hallituksen alaisia, eivät kykene toimimaan objektiivisesti tulkitessaan ja soveltaessaan henkilötietojen käsittelyä koskevia säännöksiä ja määräyksiä.
35 Kuten Euroopan tietosuojavaltuutettu toteaa huomautuksissaan, asianomaisen osavaltion hallituksen intressissä saattaa olla yksilöiden suojelua henkilötietojen käsittelyssä koskevien säännösten ja määräysten noudattamatta jättäminen, kun näitä tietoja käsittelee muu kuin julkinen sektori. Tämä hallitus voi itse olla osapuolena tässä käsittelyssä, jos se osallistuu tai voisi osallistua siihen esimerkiksi julkisen ja yksityisen sektorin yhteistyön tapauksissa tai tehtäessä julkisia hankintoja yksityisen sektorin kanssa. Kyseisellä hallituksella voi olla myös erityinen intressi, jos sille on välttämätöntä tai pelkästään hyödyllistä päästä tietokantoihin tiettyjen tehtäviensä suorittamiseksi erityisesti verotuksen tai rikosoikeudellisen menettelyn yhteydessä. Hallituksella voi myös olla taipumus asettaa taloudelliset intressit etusijalle, kun osavaltiolle tai alueelle taloudellisesti tärkeät yhtiöt soveltavat näitä säännöksiä ja määräyksiä.
36 On lisäksi korostettava, että pelkästään riski siitä, että valtion valvovat viranomaiset voivat vaikuttaa poliittisesti valvontaviranomaisten päätöksiin, riittää estämään sen, että viimeksi mainitut voisivat suorittaa tehtävänsä itsenäisesti. Yhtäältä on niin, että kuten komissio toteaa, ne saattavat ikään kuin ennakoiden noudattaa valtion valvovien viranomaisten päätöskäytäntöä. Toisaalta valvontaviranomaisten rooli yksityisyyden suojan vartijoina edellyttää, että niiden päätökset – ja siis ne itse – ovat kaiken puolueellisuutta koskevan epäilyn yläpuolella.
37 Edellä esitetyn perusteella on todettava, että valvonta, jota valtio harjoittaa niihin Saksan valvontaviranomaisiin nähden, jotka ovat toimivaltaisia valvomaan henkilötietojen käsittelyä muulla kuin julkisella sektorilla, ei ole yhteensopiva itsenäisyyden vaatimuksen kanssa, sellaisena kuin se on kuvattuna tämän tuomion 30 kohdassa.
Yhteisön oikeuden periaatteet, joihin Saksan liittotasavalta on vedonnut
38 Saksan liittotasavalta on väittänyt, että direktiivin 95/46 28 artiklan 1 kohdan toisen alakohdan mukaisen itsenäisyyden vaatimuksen tulkitseminen siten, että se pakottaa tämän jäsenvaltion luopumaan hyväksi koetusta ja tehokkaasta valvontaviranomaisten valvontaa koskevasta järjestelmästä siltä osin kuin kysymys on henkilötietojen käsittelystä muulla kuin julkisella alalla, olisi vastoin useita yhteisön oikeusperiaatteita.
39 Tämä jäsenvaltio katsoo ensiksi, että erityisesti kansanvallan periaate on esteenä kyseisen itsenäisyyden vaatimuksen tulkitsemiselle laajasti.
40 Tämä periaate, joka on vahvistettu paitsi Saksan perustuslaissa myös EU 6 artiklan 1 kohdassa, edellyttää sen mukaan, että hallinto on parlamentille vastuussa olevan hallituksen ohjeiden alainen. Puuttumisen kansalaisten ja yritysten oikeuksiin on oltava toimivaltaisen ministerin laillisuusvalvonnan alaista. Koska yksilöiden suojelua henkilötietojen käsittelyssä valvovilla viranomaisilla on direktiivin 95/46 28 artiklan 3 kohdan nojalla tiettyjä puuttumisvaltuuksia kansalaisiin ja muuhun kuin julkiseen sektoriin nähden, niiden toiminnan laillisuuden laajennettu valvonta laillisuusvalvonnan tai harkintavallan käyttöä koskevan valvonnan keinoin on ehdottoman välttämätöntä.
41 Tältä osin on palautettava mieleen, että kansanvallan periaate kuuluu yhteisön oikeusjärjestykseen ja se on nimenomaisesti vahvistettu EU 6 artiklan 1 kohdassa yhdeksi Euroopan unionin perustaksi. Se on jäsenvaltioille yhteisenä periaatteena otettava huomioon direktiivin 95/46 28 artiklan kaltaisen johdetun oikeuden säännöksen tulkinnassa.
42 Tämä periaate ei estä sitä, että olemassa on klassisen hallintohierarkian ulkopuolisia viranomaisia, jotka ovat enemmän tai vähemmän riippumattomia hallituksesta. Tällaisten viranomaisten olemassaolo ja toimintaedellytykset kuuluvat jäsenvaltioissa lain tai joissakin jäsenvaltioissa jopa perustuslain säännösten alaan, ja kyseisten viranomaisten on noudatettava lakia toimivaltaisten tuomioistuinten valvonnassa. Tällaisilla riippumattomilla hallintoviranomaisilla, joita sitä paitsi on Saksan oikeusjärjestyksessä, on usein sääntelytehtäviä, tai ne suorittavat tehtäviä, jotka on varjeltava poliittiselta vaikutukselta, mutta ne ovat kuitenkin velvollisia noudattamaan lakia toimivaltaisten tuomioistuinten valvonnassa. Juuri tällaisia ovat valvontaviranomaisten tehtävät, kun kysymys on yksilöiden suojelusta henkilötietojen käsittelyssä.
43 On tosin mahdotonta ajatella, että näihin viranomaisiin ei kohdistuisi mitään parlamentaarista vaikutusta. On kuitenkin todettava, että direktiivissä 95/46 ei millään tavoin vaadita jäsenvaltioilta tällaisen parlamentaarisen vaikutuksen sulkemista pois.
44 Yhtäältä parlamentti tai hallitus voi siis nimittää henkilöt valvontaviranomaisten johtotehtäviin. Toisaalta lainsäätäjä voi määritellä näiden viranomaisten toimivallan.
45 Lainsäätäjä voi lisäksi velvoittaa valvontaviranomaiset tekemään selon toiminnastaan parlamentille. Tältä osin voidaan tehdä vertailu direktiivin 95/46 28 artiklan 5 kohdan kanssa, jossa säädetään, että valvontaviranomaisen on laadittava toiminnastaan säännöllisin väliajoin kertomus, joka julkaistaan.
46 Kun otetaan huomioon edellä esitetty, se, että yksilöiden suojelua henkilötietojen käsittelyssä muulla kuin julkisella sektorilla valvoville valvontaviranomaisille annetaan yleisestä hallinnosta riippumaton asema, ei itsessään poista näiltä viranomaisilta niiden demokraattista legitimiteettiä.
47 Toiseksi EY 5 artiklan ensimmäisessä kohdassa vahvistettu rajoitetun erityistoimivallan periaate, johon Saksan liittotasavalta myös vetoaa, velvoittaa yhteisön toimimaan ainoastaan sille EY:n perustamissopimuksella annetun toimivallan ja asetettujen tavoitteiden rajoissa.
48 Saksan liittotasavalta väittää tässä yhteydessä, että EY:n perustamissopimuksen 100 a artiklan perusteella, jonka nojalla direktiivi 95/46 on annettu, ei voida edellyttää, että valvontaviranomaiset ovat riippumattomia ylemmistä hallintoviranomaisista.
49 Kyseisessä määräyksessä annetaan yhteisön lainsäätäjälle toimivalta antaa toimia sisämarkkinoiden toteuttamista ja toimintaa koskevien edellytysten parantamiseksi, ja näillä toimilla on tosiasiallisesti oltava tämä tarkoitus siten, että niillä edistetään EY:n perustamissopimuksessa taattujen taloudellisten vapauksien esteiden poistamista (ks. vastaavasti mm. asia C-376/98, Saksa v. parlamentti ja neuvosto, tuomio 5.10.2000, Kok., s. I-8419, 83, 84 ja 95 kohta; asia C-491/01, British American Tobacco (Investments) ja Imperial Tobacco, tuomio 10.12.2002, Kok., s. I-11453, 60 kohta ja asia C-436/03, parlamentti v. neuvosto, tuomio 2.5.2006, Kok., s. I-3733, 38 kohta).
50 Kuten on jo todettu, valvontaviranomaisten itsenäisyys siltä osin, että niitä on varjeltava kaikelta ulkoiselta vaikuttamiselta, joka voi ohjata niiden päätöksiä, on keskeinen tekijä direktiivin 95/46 tavoitteiden perusteella. On välttämätöntä luoda kaikissa jäsenvaltioissa yhtä korkea yksilöiden suojelun taso henkilötietojen käsittelyssä ja myötävaikuttaa tällä tavoin tietojen vapaaseen liikkuvuuteen, mikä on välttämätöntä sisämarkkinoiden perustamisen ja toiminnan kannalta.
51 Edellä esitetty huomioon ottaen valvontaviranomaisten itsenäisyyttä koskevan vaatimuksen tulkitseminen laajasti ei ylitä sen toimivallan rajoja, joka yhteisölle on annettu EY:n perustamissopimuksen 100 a artiklan nojalla, joka on direktiivin 95/46 oikeudellinen perusta.
52 Saksan liittotasavalta vetoaa kolmanneksi EY 5 artiklan toisessa ja kolmannessa kohdassa vahvistettuihin toissijaisuus- ja suhteellisuusperiaatteeseen sekä EY 10 artiklassa vahvistettuun jäsenvaltioiden ja yhteisön toimielinten välisen lojaalin yhteistyön periaatteeseen.
53 Se muistuttaa erityisesti Euroopan unionista tehtyyn sopimukseen ja EY:n perustamissopimukseen Amsterdamin sopimuksella liitetyn toissijaisuus- ja suhteellisuusperiaatteen soveltamisesta tehdyn pöytäkirjan 7 kohdasta, jonka mukaan yhteisön lainsäädännön noudattamisen ohella olisi huolehdittava siitä, että noudatetaan vakiintuneita kansallisia järjestelyjä ja jäsenvaltioiden oikeusjärjestelmien rakenteita ja toimintaa.
54 Olisi sen mukaan tämän vaatimuksen vastaista velvoittaa Saksan liittotasavalta ottamaan käyttöön sen oikeusjärjestykselle vieras järjestelmä ja siis hylkäämään tehokas valvontajärjestelmä, joka on koettu hyväksi lähes kolmenkymmenen vuoden ajan ja joka oli laajemmin kuin kansallisella tasolla vaikuttaneena esimerkkinä tietosuojaa koskevan lainsäädännön alalla.
55 Näitä väitteitä ei voida hyväksyä. Kuten tämän tuomion 21–25 ja 50 kohdassa on jo todettu, direktiivin 95/46 28 artiklan 1 kohdan toisessa alakohdassa vahvistetun itsenäisyyden vaatimuksen tulkitseminen siten, että se on esteenä valtion valvonnalle, ei ylitä sitä, mikä on tarpeen EY:n perustamissopimuksen tavoitteiden saavuttamiseksi.
56 Näin ollen on kaikki edellä esitetyt seikat huomioon ottaen todettava, että Saksan liittotasavalta ei ole noudattanut direktiivin 95/46 28 artiklan 1 kohdan toisen alakohdan mukaisia velvoitteitaan, kun se on asettanut valtion valvonnan alaiseksi valvontaviranomaiset, jotka ovat toimivaltaisia valvomaan muun kuin julkisen sektorin suorittamaa henkilötietojen käsittelyä eri osavaltioissa, ja pannut näin ollen virheellisesti täytäntöön vaatimuksen siitä, että näiden viranomaisten on hoidettava tehtäviään ”itsenäisesti”.
Oikeudenkäyntikulut
57 Työjärjestyksen 69 artiklan 2 kohdan mukaan asianosainen, joka häviää asian, velvoitetaan korvaamaan oikeudenkäyntikulut, jos vastapuoli on sitä vaatinut. Koska komissio on vaatinut Saksan liittotasavallan velvoittamista korvaamaan oikeudenkäyntikulut ja koska Saksan liittotasavalta on hävinnyt asian, se on velvoitettava korvaamaan oikeudenkäyntikulut.
58 Euroopan tietosuojavaltuutettu vastaa omista oikeudenkäyntikuluistaan.
Näillä perusteilla unionin tuomioistuin (suuri jaosto) on ratkaissut asian seuraavasti:
1) Saksan liittotasavalta ei ole noudattanut yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY 28 artiklan 1 kohdan toisen alakohdan mukaisia velvoitteitaan, kun se on asettanut valtion valvonnan alaiseksi valvontaviranomaiset, jotka ovat toimivaltaisia valvomaan muiden kuin julkisten elinten ja julkisoikeudellisten yritysten, jotka osallistuvat kilpailuun markkinoilla (öffentlich-rechtliche Wettbewerbsunternehmen), suorittamaa henkilötietojen käsittelyä eri osavaltioissa, ja pannut näin ollen virheellisesti täytäntöön vaatimuksen siitä, että näiden viranomaisten on hoidettava tehtäviään ”itsenäisesti”.
2) Saksan liittotasavalta velvoitetaan korvaamaan Euroopan komission oikeudenkäyntikulut.
3) Euroopan tietosuojavaltuutettu vastaa omista oikeudenkäyntikuluistaan.
Allekirjoitukset