YHTEISÖJEN TUOMIOISTUIMEN TUOMIO (kolmas jaosto)
7 päivänä toukokuuta 2009 (*)
Yksilöiden suojelu henkilötietojen käsittelyssä – Direktiivi 95/46/EY – Yksityisyyden suoja – Tietojen poistaminen – Tiedonsaantioikeus ja oikeus saada tietoja henkilötietojen vastaajanottajista – Tiedonsaantioikeuden käyttämisen määräaika
Asiassa C‑553/07,
jossa on kyse EY 234 artiklaan perustuvasta ennakkoratkaisupyynnöstä, jonka Raad van State (Alankomaat) on esittänyt 5.12.2007 tekemällään päätöksellä, joka on saapunut yhteisöjen tuomioistuimeen 12.12.2007, saadakseen ennakkoratkaisun asiassa
College van burgemeester en wethouders van Rotterdam
vastaan
E. E. Rijkeboer,
YHTEISÖJEN TUOMIOISTUIN (kolmas jaosto),
toimien kokoonpanossa: jaoston puheenjohtaja A. Rosas sekä tuomarit A. Ó Caoimh, J. Klučka, U. Lõhmus ja P. Lindh (esittelevä tuomari),
julkisasiamies: D. Ruiz-Jarabo Colomer,
kirjaaja: johtava hallintovirkamies M. Ferreira,
ottaen huomioon kirjallisessa käsittelyssä ja 20.11.2008 pidetyssä istunnossa esitetyn,
ottaen huomioon huomautukset, jotka sille ovat esittäneet
– College van burgemeester en wethouders van Rotterdam, edustajanaan advocaat R. de Bree,
– E. E. Rijkeboer, edustajanaan juridisch adviseur W. van Bentem,
– Alankomaiden hallitus, asiamiehinään C. M. Wissels ja C. ten Dam,
– Tšekin hallitus, asiamiehenään M. Smolek,
– Kreikan hallitus, asiamiehinään E.-M. Mamouna ja V. Karra,
– Espanjan hallitus, asiamiehenään M. Muñoz Pérez,
– Yhdistyneen kuningaskunnan hallitus, asiamiehinään Z. Bryanston-Cross ja H. Walker, avustajanaan barrister J. Stratford,
– Euroopan yhteisöjen komissio, asiamiehinään R. Troosters ja C. Docksey,
kuultuaan julkisasiamiehen 22.12.2008 pidetyssä istunnossa esittämän ratkaisuehdotuksen,
on antanut seuraavan
tuomion
1 Ennakkoratkaisupyyntö koskee yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY (EYVL L 281, s. 31; jäljempänä direktiivi) 12 artiklan a alakohdan tulkintaa.
2 Tämä pyyntö on esitetty asiassa, jossa vastakkain ovat Rijkeboer ja College van burgemeester en wethouders van Rotterdam (Rotterdamin pormestarin ja apulaispormestarien neuvosto, jäljempänä College) ja joka koskee viimeksi mainitun osittaista kieltäytymistä antaa Rijkeboerille tietoja hänen tiedonsaantipyyntöään edeltäneiden kahden vuoden aikana tehdyistä hänen henkilötietojensa luovutuksista sivullisille.
Asiaa koskevat oikeussäännöt
Yhteisön säännöstö
3 Direktiivin johdanto-osan perusoikeuksia ja -vapauksia koskevissa toisessa ja kymmenennessä perustelukappaleessa todetaan, että
”(2) tietojenkäsittelyjärjestelmät on tehty palvelemaan ihmistä; järjestelmiä käytettäessä on kunnioitettava yksilöiden perusoikeuksia ja -vapauksia heidän kansalaisuudestaan tai asuinpaikastaan riippumatta, erityisesti oikeutta yksityisyyteen, ja osallistuttava taloudelliseen ja sosiaaliseen kehitykseen, kaupan kehittämiseen sekä yksilöiden hyvinvoinnin lisäämiseen,
– –
(10) henkilötietojen käsittelyä koskevien kansallisten lainsäädäntöjen tavoitteena on taata perusoikeuksien ja -vapauksien kunnioittaminen, erityisesti yksityisyyttä koskevan oikeuden kunnioittaminen, joka tunnustetaan myös ihmisoikeuksien ja perusvapauksien suojaamiseksi tehdyn Euroopan yleissopimuksen 8 artiklassa ja yhteisön oikeuden yleisissä periaatteissa – –”.
4 Direktiivin johdanto-osan 25 perustelukappaleen mukaan tietosuojan periaatteiden on ilmettävä yhtäältä tietoja käsittelevien niissä velvoitteissa, jotka koskevat erityisesti tietojen laatua, ja toisaalta rekisteröityjen oikeudessa saada tieto käsittelystä sekä mahdollisuudessa tutustua tietoihin ja pyytää niiden oikaisua, jopa vastustaa käsittelyä tietyissä olosuhteissa.
5 Direktiivin johdanto-osan 40 perustelukappaleessa, joka koskee velvollisuutta ilmoittaa rekisteröidylle silloin, kun tietoja ei ole saatu häneltä, todetaan, että tätä velvoitetta ei edellytetä, jos tämä ilmoittaminen osoittautuu mahdottomaksi tai jos siitä aiheutuisi kohtuutonta vaivaa; tässä suhteessa voidaan ottaa huomioon rekisteröityjen määrä, tietojen ikä sekä mahdolliset korvaavat toimenpiteet.
6 Direktiivin johdanto-osan 41 perustelukappaleen mukaan kenellä tahansa henkilöllä on oltava oikeus tutustua itseään koskeviin käsiteltäviin tietoihin voidakseen varmistua erityisesti tietojen paikkansapitävyydestä ja niiden käsittelyn laillisuudesta.
7 Direktiivin 1 artiklassa, jonka otsikko on ”Direktiivin tavoite”, säädetään seuraavaa:
”1. Tämän direktiivin mukaisesti jäsenvaltioiden on henkilötietojen käsittelyssä turvattava yksilöille heidän perusoikeutensa ja -vapautensa ja erityisesti heidän oikeutensa yksityisyyteen.
2. Jäsenvaltiot eivät voi rajoittaa tai kieltää henkilötietojen vapaata liikkuvuutta jäsenvaltioiden välillä syistä, jotka liittyvät 1 kohdan mukaisesti turvattavaan suojaan.”
8 ”Henkilötietojen” käsite on määritelty direktiivin 2 artiklan a alakohdassa siten, että niillä tarkoitetaan kaikenlaisia tunnistettua tai tunnistettavissa olevaa luonnollista henkilöä (rekisteröity) koskevia tietoja.
9 ”Henkilötietojen käsittelyllä” tarkoitetaan direktiivin 2 artiklan b alakohdan mukaan
”kaikenlaisia sellaisia toimintoja tai toimintojen kokonaisuuksia, joita kohdistetaan henkilötietoihin joko automaattisen tietojenkäsittelyn avulla tai manuaalisesti, kuten tietojen kerääminen, tallentaminen, järjestäminen, säilyttäminen, muokkaaminen tai muuttaminen, tiedon haku, kysely, käyttö, luovuttaminen siirtämällä, levittämällä tai asettamalla muutoin saataville, yhteensovittaminen tai yhdistäminen sekä suojaaminen, poistaminen tai tuhoaminen”.
10 Direktiivin 2 artiklan d alakohdan mukaan ”rekisterinpitäjä” on luonnollinen henkilö tai oikeushenkilö, julkinen viranomainen, virasto tai muu toimielin, joka, yksin tai yhdessä toisten kanssa, määrittelee henkilötietojen käsittelyn tarkoituksen ja keinot.
11 Direktiivin 2 artiklan g alakohdassa määritellään ”vastaanottaja” luonnolliseksi henkilöksi tai oikeushenkilöksi, julkiseksi viranomaiseksi, virastoksi tai muuksi toimielimeksi, jolle tietoja luovutetaan, oli kyseessä direktiivin 2 artiklan f alakohdassa määritelty sivullinen tai ei.
12 Direktiivin 6 artiklassa ilmaistaan tietojen laatua koskevat periaatteet. Sen 1 kohdan e alakohdassa säädetään tietojen säilyttämisen osalta, että jäsenvaltiot säätävät, että ”henkilötiedot säilytetään muodossa, josta rekisteröity on tunnistettavissa ainoastaan sen ajan, kuin on tarpeen niiden tarkoitusten toteuttamista varten, joita varten tiedot kerättiin tai joissa niitä myöhemmin käsitellään. Jäsenvaltiot toteuttavat niiden henkilötietojen tarpeelliset suojatoimet, joita säilytetään edellä tarkoitettua aikaa kauemmin historiantutkimusta taikka tilastollisia tai tieteellisiä tarkoituksia varten”.
13 Direktiivin 10 ja 11 artiklassa säädetään niistä tiedoista, jotka rekisterinpitäjän tai hänen edustajansa on toimitettava rekisteröidylle siinä tapauksessa, että tietoja kerätään rekisteröidyltä, tai siinä tapauksessa, että niitä ei ole kerätty häneltä.
14 Direktiivin 12 artiklassa, jonka otsikko on ”Tiedonsaantioikeus”, säädetään seuraavaa:
”Jäsenvaltioiden on taattava rekisteröidylle oikeus saada rekisterinpitäjältä:
a) vapaasti, kohtuullisin väliajoin ja ilman aiheetonta viivytystä tai aiheettomia kustannuksia:
– vahvistus siitä, käsitelläänkö häntä koskevia tietoja vai ei, sekä vähintään tiedot käsittelyn tarkoituksista, käsiteltävistä tietoryhmistä ja tietojen vastaanottajista tai vastaanottajaryhmistä, joille tiedot luovutetaan,
– käsiteltävät tiedot itselleen ymmärrettävässä muodossa sekä kaikki tietojen alkuperästä käytettävissä olevat tiedot,
– tiedot kyseessä olevien tietojen automaattiseen käsittelyyn liittyvästä logiikasta, ainakin 15 artiklan 1 kohdassa tarkoitettujen automatisoitujen päätösten ollessa kyseessä;
b) tapauskohtaisesti, sellaiset tiedot oikaistuiksi, poistetuiksi tai suojatuiksi, joiden käsittely ei ole tämän direktiivin mukaista, erityisesti tietojen puutteellisen tai virheellisen luonteen vuoksi;
c) ilmoitus sivullisille, joille tietoja on luovutettu, kaikenlaisista b alakohdan mukaisesti tehdyistä oikaisuista, poistamisista tai suojaamisista, paitsi jos tämä osoittautuu mahdottomaksi tai vaatii kohtuutonta vaivaa.”
15 Direktiivin 13 artiklan, jonka otsikko on ”Poikkeukset ja rajoitukset”, 1 kohdassa annetaan jäsenvaltioille oikeus poiketa muun muassa sen 6 ja 12 artiklan säännöksistä, jos se on välttämätöntä tiettyjen yleisten etujen, joiden joukossa ovat valtion turvallisuus, puolustus, syyteharkinta sekä muita etuja, kuten rekisteröidyn suojelu tai muiden oikeudet ja vapaudet, varmistamiseksi.
16 Direktiivin 14 artiklassa säädetään, että jäsenvaltioiden on turvattava rekisteröidylle oikeus tietyissä tilanteissa vastustaa itseään koskevien tietojen käsittelyä.
17 Direktiivin 17 artiklan 1 kohdan toisen alakohdan mukaan jäsenvaltioiden on säädettävä siitä, että rekisterinpitäjän on toteutettava tarpeelliset tekniset ja organisatoriset toimenpiteet, joilla on kehityksen taso ja toimenpiteiden kustannukset huomioon ottaen taattava asianmukainen turvallisuuden taso suhteessa käsittelyn riskeihin ja suojattavien tietojen luonteeseen.
18 Direktiivin 22 artiklan ja 23 artiklan 1 kohdan mukaan jäsenvaltioiden on säädettävä siitä, että kenellä tahansa henkilöllä on mahdollisuus käyttää oikeussuojakeinoa, jos kyseessä olevaan käsittelyyn sovellettavien kansallisten säännösten mukaisesti hänelle kuuluvia oikeuksia loukataan ja että jos kenelle tahansa henkilölle aiheutuu vahinkoa laittomasta käsittelystä tai minkä tahansa toiminnan yhteensopimattomuudesta tämän direktiivin mukaisesti toteutettujen kansallisten toimenpiteiden kanssa, hänellä on oikeus saada rekisterinpitäjältä korvaus aiheutuneesta vahingosta.
Kansallinen säännöstö
19 Direktiivi on pantu Alankomaiden oikeudessa täytäntöön yleissäädöksellä, lailla henkilötietojen suojelusta (Wet bescherming persoonsgegevens). Lisäksi erityislakeja on mukautettu direktiivin noudattamiseksi. Pääasiassa kyseessä oleva kunnallisesta henkilötietojen perusrekisteristä annettu laki (Wet gemeentelijke basisadministratie persoonsgegevens; Stbl. 1994, nro 494; jäljempänä Wet GBA) on tällainen.
20 Wet GBA:n 103 §:n 1 momentissa säädetään, että pormestarin ja apulaispormestarien neuvosto ilmoittaa rekisteröidylle kirjallisesti neljän viikon määräajassa tämän hakemuksesta, onko häntä koskevia kunnallisesta rekisteristä peräisin olevia tietoja luovutettu hakemusta edeltävän vuoden kuluessa viranomaiselle tai sivulliselle.
21 Wet GBA:n 110 §:n mukaan pormestarin ja apulaispormestarien neuvosto säilyttää maininnan tästä luovutuksesta tietojen luovuttamista seuraavan vuoden ajan, ellei tämä luovutus ilmene muulla tavalla tietokannasta.
22 Collegen kirjallisista huomautuksista ilmenee, että kunnan säilyttämät tiedot koskevat muun muassa nimeä, syntymäaikaa, hallinnollista tunnusta, sosiaali- ja verotunnusta, rekisterikuntaa, osoitetta ja kuntaan rekisteröitymispäivää, siviilisäätyä, holhoussuhteita, alaikäisten huoltajuutta, kansalaisuutta ja ulkomaalaisten oleskeluoikeutta.
Pääasia ja ennakkoratkaisukysymys
23 Rijkeboer vaati 26.10.2005 päivätyllä kirjeellä Collegea ilmoittamaan hänelle kaikista niistä tapauksista, joissa häntä koskevia kunnallisesta rekisteristä peräisin olevia tietoja oli hänen hakemustaan edeltäneiden kahden vuoden kuluessa luovutettu sivullisille. Hän halusi tietää näiden henkilöiden henkilöllisyyden ja heille välitettyjen tietojen sisällön. Rijkeboer, joka oli muuttanut toiseen kuntaan, halusi tietää erityisesti, kenelle hänen aikaisempi osoitteensa oli luovutettu.
24 College hyväksyi 27.10.2005 ja 29.11.2005 tekemillään päätöksillä tämän vaatimuksen vain osittain ja antoi hänelle Wet GBA:n 103 §:n 1 momentin mukaisesti vain hänen hakemustaan edeltänyttä vuoden jaksoa koskevat tiedot.
25 Tietojen luovutukset on kirjattu ”Logisch Ontwerp GBA:n” avulla. Se on Ministerie van Binnenlandse Zaken en Koninkrijkrelatiesin (Alankomaiden sisäasiain ja kuningaskunta-asiain ministeriö) luoma automatisoitu järjestelmä. Ennakkoratkaisupyynnön esittämistä koskevasta päätöksestä ilmenee, että Rijkeboerin vaatimat tiedot, jotka olivat hakemuksesta laskettuna yli vuoden vanhoja, oli poistettu automaattisesti, mikä oli Wet GBA:n 110 §:n säännösten mukaista.
26 Rijkeboer esitti Collegelle oikaisuvaatimuksen tämän kieltäytymisestä antaa hänelle tietoja vastaanottajista, joille oli luovutettu häntä koskevia tietoja ennen kuin hakemuksentekoa edeltävä vuoden ajanjakso oli alkanut. Koska tämä oikaisuvaatimus hylättiin 13.2.2006 tehdyllä päätöksellä, Rijkeboer nosti kanteen Rechtbank Rotterdamissa.
27 Tämä tuomioistuin hyväksyi kanteen ja katsoi, että vastaanottajille luovutettuja tietoja koskevan tiedonsaantioikeuden rajoittaminen hakemusta edeltävään vuoteen, kuten Wet GBA:n 103 §:n 1 momentissa on säädetty, ei ole sopusoinnussa direktiivin 12 artiklan kanssa. Se katsoi myös, että tämän direktiivin 13 artiklassa tarkoitettuja poikkeuksia ei voida soveltaa.
28 College valitti tästä tuomiosta Raad van Stateen. Tämä tuomioistuin on todennut, että tiedonsaantioikeutta koskevassa tämän direktiivin 12 artiklassa ei aseteta mitään määräaikaa, jossa tätä oikeutta on voitava käyttää. Sen mukaan tässä artiklassa ei kuitenkaan välttämättä kielletä kansallista lainsäätäjää rajoittamasta ajallisesti rekisteröidyn oikeutta saada tietoja vastaanottajista, joille hänen henkilötietojaan on luovutettu, mutta se on epävarma tästä asiasta.
29 Tässä tilanteessa Raad van State on päättänyt lykätä ratkaisun antamista asiassa ja esittää yhteisöjen tuomioistuimelle seuraavan ennakkoratkaisukysymyksen:
”Onko laissa säädetty rajoitus, jonka mukaan tiedot annetaan tietojen saamiseksi esitettyä hakemusta edeltävän yhden vuoden ajalta – – direktiivin – – 12 artiklan a alakohdan, mahdollisesti luettuna yhdessä tämän direktiivin 6 artiklan 1 kohdan e alakohdan kanssa, ja suhteellisuusperiaatteen mukainen?”
Ennakkoratkaisukysymyksen tarkastelu
30 Aluksi on huomattava, että EY 234 artiklalla käyttöön otetussa tuomioistuinten yhteistyötä koskevassa järjestelmässä yhteisöjen tuomioistuimen tehtävänä on tulkita yhteisön oikeussääntöjä. Kansallisten oikeussääntöjen osalta tulkinta kuuluu kansallisille tuomioistuimille (ks. asia C-449/06, Gysen, tuomio 14.2.2008, Kok., s. I‑553, 17 kohta).
31 Näin ollen ennakkoratkaisupyynnön esittäneen tuomioistuimen kysymys on ymmärrettävä siten, että sillä pyritään pääasiallisesti selvittämään, voidaanko henkilön oikeus saada tietoja häntä koskevien henkilötietojen vastaanottajista tai vastaanottajaryhmistä sekä luovutettujen tietojen sisällöstä direktiivin, erityisesti sen 12 artiklan a alakohdan, mukaan rajoittaa hänen tiedonsaantihakemustaan edeltävään vuoden jaksoon.
32 Tämä tuomioistuin korostaa kahta direktiivin säännöstä, nimittäin henkilötietojen säilyttämistä koskevaa 6 artiklan 1 kohdan e alakohtaa ja oikeutta saada tietoa näistä tiedoista koskevaa 12 artiklan a alakohtaa. Sen sijaan tämä tuomioistuin tai kukaan muukaan yhteisöjen tuomioistuimelle huomautuksia esittäneistä osapuolista ei ole vedonnut direktiivin 13 artiklassa mainittuihin poikkeuksiin.
33 Direktiivin 6 artikla koskee tietojen laatua. Sen 1 kohdan e alakohdassa jäsenvaltiot velvoitetaan säätämään, että henkilötiedot säilytetään ainoastaan sen ajan, kuin on tarpeen niiden tarkoitusten toteuttamista varten, joita varten tiedot kerättiin tai joissa niitä myöhemmin käsitellään. Tiedot on siten hävitettävä, kun nämä tarkoitukset on toteutettu.
34 Direktiivin 12 artiklan a alakohdassa säädetään, että jäsenvaltiot antavat rekisteröidylle hänen henkilötietojaan sekä näiden tietojen vastaanottajia tai vastaanottajaryhmiä koskevan tiedonsaantioikeuden, mutta ei ilmoiteta tätä koskevaa määräaikaa.
35 Näillä kahdella artiklalla pyritään siis suojaamaan rekisteröityä. Ennakkoratkaisupyynnön esittänyt tuomioistuin haluaa tietää, onko näiden kahden artiklan välillä yhteys siten, että oikeus saada tietoa henkilötietojen vastaanottajista tai vastaanottajaryhmistä sekä luovutettujen tietojen sisällöstä voisi riippua näiden tietojen säilyttämisen kestosta.
36 Yhteisöjen tuomioistuimelle esitetyt huomautukset osoittavat, että näiden kahden säännöksen välisestä vuorovaikutuksesta on erilaisia näkemyksiä.
37 College sekä Alankomaiden, Tšekin, Espanjan ja Yhdistyneen kuningaskunnan hallitukset väittävät, että direktiivin 12 artiklan a alakohdassa tarkoitettu tietojen vastaanottajia tai vastaanottajaryhmiä koskeva tiedonsaantioikeus on olemassa vain nykyhetken eikä menneen ajan osalta. Kun tiedot on kansallisen säännöstön mukaisesti poistettu, rekisteröity ei voi enää saada niistä tietoa. Tämä seuraus ei niiden mukaan ole direktiivin vastainen.
38 College ja Alankomaiden hallitus esittävät siten, että Wet GBA:n 103 §:n 1 momentti, jonka mukaan kunta ilmoittaa rekisteröidylle hänen tätä koskevasta hakemuksestaan, onko henkilötietoja luovutettu vastaanottajille hänen hakemustaan edeltävän vuoden kuluessa, menee direktiivissä asetettuja vaatimuksia pidemmälle.
39 Komissio ja Kreikan hallitus väittävät omalta osaltaan, että direktiivissä ei säädetä vain nykyhetkeä vaan myös tiedonsaantihakemusta edeltävää ajanjaksoa koskevasta tiedonsaantioikeudesta. Niiden näkemykset eroavat kuitenkin toisistaan tämän tiedonsaantioikeuden tarkan keston osalta.
40 Direktiivillä mahdollistettavan tiedonsaantioikeuden ulottuvuuden arvioimiseksi on aluksi määritettävä ne tiedot, joita tiedonsaantioikeus koskee, ja tutkittava sitten direktiivin 12 artiklan a alakohdan tarkoitusta direktiivin tavoitteiden valossa.
41 Rijkeboerin tapauksen kaltaisessa tilanteessa esiin nousee kaksi tietoryhmää.
42 Ensimmäinen käsittää kunnan hallussa olevat henkilöä koskevat tiedot, kuten hänen nimensä ja osoitteensa, jotka käsiteltävänä olevassa tapauksessa muodostavat perustiedot. Collegen ja Alankomaiden hallituksen esittämistä suullisista huomautuksista ilmenee, että nämä tiedot voidaan säilyttää pitkään. Ne ovat direktiivin 2 artiklan a alakohdassa tarkoitettuja ”henkilötietoja”, koska kyse on tunnistettua tai tunnistettavissa olevaa luonnollista henkilöä koskevista tiedoista (ks. vastaavasti yhdistetyt asiat C‑465/00, C‑138/01 ja C‑139/01, Österreichischer Rundfunk ym., tuomio 20.5.2003, Kok., s. I‑4989, 64 kohta; asia C‑101/01, Lindqvist, tuomio 6.11.2007, Kok., s. I‑12971, 24 kohta ja asia C-524/06, Huber, tuomio 16.12.2008, 43 kohta, ei vielä julkaistu oikeustapauskokoelmassa).
43 Toinen ryhmä liittyy tietoihin niistä vastaanottajista tai vastaanottajaryhmistä, joille näitä perustietoja on luovutettu, sekä luovutettujen perustietojen sisältöön, ja se koskee siten perustietojen käsittelyä. Pääasiassa kyseessä olevan kansallisen lainsäädännön mukaisesti näitä tietoja säilytetään vain vuoden ajan.
44 Henkilötietojen vastaanottajia tai vastaanottajaryhmiä sekä luovutettujen tietojen sisältöä koskevan tiedonsaantioikeuden ajallinen rajoittaminen, josta pääasiassa on kysymys, koskee näin ollen tätä toista tietojen ryhmää.
45 Sen ratkaisemiseksi, mahdollistetaanko direktiivin 12 artiklan a alakohdassa tällainen ajallinen rajoittaminen, tätä artiklaa on tulkittava sen direktiivin tavoitteiden valossa tutkitun tarkoituksen mukaan.
46 Direktiivin 1 artiklan mukaan sen tavoitteena on suojata yksilöiden perusoikeuksia ja -vapauksia, erityisesti heidän oikeuttaan yksityisyyteen, henkilötietojen käsittelyssä ja mahdollistaa näin näiden tietojen vapaa liikkuvuus jäsenvaltioiden välillä.
47 Yksityisyyden suojaamisen tärkeyttä on korostettu direktiivin johdanto-osan toisessa ja kymmenennessä perustelukappaleessa ja yhteisöjen tuomioistuimen oikeuskäytännössä (ks. vastaavasti em. yhdistetyt asiat Österreichischer Rundfunk ym., tuomion 70 kohta; em. asia Lindqvist, tuomion 97 ja 99 kohta; asia C‑275/06, Promusicae, tuomio 29.1.2008, Kok., s. I‑271, 63 kohta ja asia C‑73/07, Satakunnan Markkinapörssi ja Satamedia, tuomio 16.12.2008, 52 kohta, ei vielä julkaistu oikeustapauskokoelmassa).
48 Direktiivin johdanto-osan 25 perustelukappaleesta ilmenee, että tämän suojelun on ilmettävä yhtäältä tietoja käsittelevien velvoitteissa, jotka koskevat muun muassa direktiivin 6 artiklan kohteena olevaa tietojen laatua, ja toisaalta niille henkilöille, joita koskevia tietoja käsitellään, annetussa oikeudessa saada tieto tästä, tutustua tietoihin ja pyytää niiden oikaisua tai jopa vastustaa niiden käsittelyä tietyissä olosuhteissa.
49 Tämä oikeus yksityisyyden kunnioittamiseen edellyttää, että rekisteröity voi varmistua hänen henkilötietojensa käsittelyn paikkansapitävyydestä ja laillisuudesta, eli erityisesti siitä, että häntä koskevat perustiedot ovat paikkansapitäviä ja että ne on annettu sallituille vastaanottajille. Kuten direktiivin johdanto-osan 41 perustelukappaleessa on mainittu, rekisteröidyllä on oltava oikeus tutustua itseään koskeviin käsiteltäviin tietoihin voidakseen suorittaa tarpeelliset tarkastukset.
50 Tältä osin direktiivin 12 artiklan a alakohdassa säädetään perustietoja sekä niitä vastaanottajia tai vastaanottajaryhmiä, joille tiedot luovutetaan, koskevasta tiedonsaantioikeudesta.
51 Tämä tiedonsaantioikeus on välttämätön, jotta rekisteröity voi käyttää direktiivin 12 artiklan b ja c alakohdassa tarkoitettuja oikeuksiaan, eli saada tietoja käsittelevä oikaisemaan, poistamaan tai suojaamaan hänen tietonsa siinä tapauksessa, että hänen tietojensa käsittely ei ole direktiivin mukaista (b alakohta), tai ilmoittamaan sivullisille, joille tietoja on luovutettu, näistä oikaisuista, poistamisista tai suojaamisista, paitsi jos tämä osoittautuu mahdottomaksi tai vaatii kohtuutonta vaivaa (c alakohta).
52 Tämä tiedonsaantioikeus on myös välttämätön, jotta rekisteröity voi käyttää oikeuttaan vastustaa henkilötietojensa käsittelyä direktiivin 14 artiklassa tarkoitetulla tavalla tai käyttää sen 22 ja 23 artiklassa säädettyjä oikeussuojakeinoja kärsityn vahingon tapauksessa.
53 Direktiivissä ei täsmennetä perustietojen vastaanottajia tai vastaanottajaryhmiä sekä luovutettujen tietojen sisältöä koskevan tiedonsaantioikeuden osalta sitä, koskeeko tämä oikeus mennyttä aikaa, ja jos koskee, niin mitä mahdollista menneen ajan ajanjaksoa.
54 Tältä osin on todettava, että tämän tuomion 51 ja 52 kohdassa tarkoitettujen säännösten tehokkaan vaikutuksen varmistamiseksi tämän oikeuden on välttämättä koskettava mennyttä aikaa. Jos näin ei olisi, rekisteröity ei voisi tehokkaalla tavalla käyttää oikeuttaan saada laittomiksi tai paikkansapitämättömiksi oletettuja tietoja oikaistuksi, poistetuksi tai suojatuksi tai käyttää oikeussuojakeinoa ja saada korvausta kärsimästään vahingosta.
55 Ratkaistava kysymys koskee sitä, mikä on tämän oikeuden ulottuvuus menneessä ajassa.
56 Yhteisöjen tuomioistuin on jo todennut, että direktiivin säännökset ovat suhteellisen yleisiä, koska niitä on voitava soveltaa suureen määrään hyvin erilaisia tilanteita, ja että direktiivissä on sääntöjä, jotka ovat luonteeltaan joustavia, ja jäsenvaltioille jätetään useissa tapauksissa valta määrätä yksityiskohdista tai valita eri vaihtoehtojen välillä (ks. em. asia Lindqvist, tuomion 83 kohta). Yhteisöjen tuomioistuin on näin todennut, että jäsenvaltioilla on monessa suhteessa käytettävissään harkintavaltaa direktiivin täytäntöön panemiseksi (ks. em. asia Lindqvist, tuomion 84 kohta). Tämä harkintavalta, jota direktiivin 12 artiklan a alakohdan täytäntöönpano ilmentää, ei ole kuitenkaan rajoittamaton.
57 Määräajan asettamisen henkilötietojen vastaanottajia tai vastaanottajaryhmiä sekä luovutettujen tietojen sisältöä koskevalle tiedonsaantioikeudelle on mahdollistettava se, että rekisteröity käyttää erilaisia direktiivissä säädettyjä ja tämän tuomion 51 ja 52 kohdassa mainittuja oikeuksia.
58 Perustietojen säilyttämisen kesto voi olla hyödyllinen muuttuja, mutta se ei ole kuitenkaan ratkaiseva.
59 Direktiivin soveltamisala on erittäin laaja, kuten yhteisöjen tuomioistuin on aikaisemmin todennut (ks. em. yhdistetyt asiat Österreichischer Rundfunk ym., tuomion 43 kohta ja em. asia Lindqvist, tuomion 88 kohta), ja direktiivissä tarkoitetut henkilötiedot ovat erilaisia. Henkilötietojen säilytysaika, joka direktiivin 6 artiklan 1 kohdan e alakohdan mukaan määritetään sen tarkoituksen perusteella, jota varten tiedot kerättiin tai joita varten niitä myöhemmin käsitellään, voi siten vaihdella. Kun perustietojen säilytysaika on hyvin pitkä, rekisteröidyn intressi käyttää tämän tuomion 57 kohdassa mainittuja puuttumis- ja oikeussuojakeinoja voi joissakin tapauksissa pienentyä. Jos esimerkiksi kyseessä olevia vastaanottajia on runsaasti tai rajatummalle vastaanottajamäärälle luovutetaan erittäin usein tietoja, velvoite säilyttää henkilötietojen vastaanottajia tai vastaanottajaryhmiä sekä luovutettujen tietojen sisältöä koskevia tietoja yhtä pitkään voisi olla liiallinen taakka rekisterinpitäjälle.
60 Direktiivissä ei edellytetä jäsenvaltioilta, että ne asettavat tällaisia taakkoja rekisterinpitäjälle.
61 Niinpä direktiivin 12 artiklan c alakohdassa säädetään nimenomaisesti varauksesta rekisterinpitäjän velvollisuuteen ilmoittaa sivullisille, joille tietoja on luovutettu, oikaisuista, poistamisista tai suojaamisista, eli tätä velvollisuutta ei ole silloin, kun tämä osoittautuu mahdottomaksi tai vaatii kohtuutonta vaivaa.
62 Direktiivin muiden osien mukaan voidaan ottaa huomioon kohtuuton vaiva, jota tietyt toimenpiteet voivat merkitä. Direktiivin johdanto-osan 40 perustelukappaleessa todetaan rekisteröidylle ilmoittamista koskevan velvoitteen osalta, että rekisteröityjen määrä sekä tietojen ikä voidaan ottaa huomioon. Lisäksi jäsenvaltioiden on käsittelyn turvallisuutta koskevan direktiivin 17 artiklan mukaan säädettävä siitä, että rekisterinpitäjän on toteutettava tarpeelliset tekniset ja organisatoriset toimenpiteet, joilla varmistetaan asianmukainen turvallisuuden taso, kun otetaan huomioon käsittelyn riskit ja suojattavien tietojen luonne sekä kehityksen taso ja toimenpiteiden kustannukset.
63 Vastaava arviointi soveltuu määräajan asettamiseen henkilötietojen vastaanottajia tai vastaanottajaryhmiä sekä luovutettujen tietojen sisältöä koskevalle tiedonsaantioikeudelle. Tämän tuomion 57 kohdassa esitetyn näkökohdan lisäksi jäsenvaltiot voivat siten ottaa huomioon useita muuttujia, muun muassa oikeussuojakeinojen käyttämisen määräaikaan sovellettavat kansallisen oikeuden säännökset, perustietojen arkaluonteisuus, näiden tietojen säilytysaika ja kyseessä olevien vastaanottajien määrä.
64 Jäsenvaltioiden tehtävänä on näin ollen asettaa määräaika henkilötietojen vastaanottajia tai vastaanottajaryhmiä sekä luovutettujen tietojen sisältöä koskevien tietojen säilyttämiselle ja säätää näitä tietoja koskevasta tiedonsaantioikeudesta, joilla saavutetaan oikea tasapaino yhtäältä intressin, joka rekisteröidyllä on yksityiselämänsä suojaamiseen muun muassa sellaisten tietojen, joiden käsittely ei ole direktiivin mukaista, oikaisemista, poistamista tai suojaamista koskevien oikeuksien sekä vastustus- ja kanneoikeuden avulla, ja toisaalta sen taakan välillä, jota näiden tietojen säilyttämisvelvollisuus merkitsee rekisterinpitäjälle.
65 Lisäksi tämän määräajan asettamisessa on myös otettava huomioon direktiivin 6 artiklan e alakohdasta johtuvat velvoitteet säätää, että henkilötiedot säilytetään muodossa, josta rekisteröidyt ovat tunnistettavissa, ainoastaan sen ajan kuin on tarpeen niiden tarkoitusten toteuttamista varten, joita varten tiedot kerättiin tai joissa niitä myöhemmin käsitellään.
66 Käsiteltävänä olevassa asiassa säännöstöllä, jolla henkilötietojen vastaanottajia tai vastaanottajaryhmiä sekä luovutettujen tietojen sisältöä koskevien tietojen säilyttäminen rajoitetaan yhteen vuoteen ja jolla rajoitetaan vastaavasti näitä tietoja koskevaa tiedonsaantioikeutta, vaikka perustietoja säilytetään paljon pidempään, ei saavuteta kyseessä olevan intressin ja velvollisuuden oikeaa tasapainoa, ellei osoiteta, että näiden tietojen pidempi säilyttäminen olisi liiallinen taakka rekisterinpitäjälle. Joka tapauksessa tarpeellisten tutkimusten suorittaminen edellisissä kohdissa esitettyjen näkökohtien valossa on kansallisen tuomioistuimen tehtävä.
67 Edellä esitetyn perusteella tiettyjen jäsenvaltioiden väitettä, jonka mukaan direktiivin 10 ja 11 artiklan soveltaminen tekisi tarpeettomaksi menneeseen aikaan kohdistuvan, direktiivin 12 artiklan a alakohdassa tarkoitetun vastaanottajia tai vastaanottajaryhmiä koskevan tiedonsaantioikeuden, ei voida hyväksyä.
68 On todettava, että näissä 10 ja 11 artiklassa rekisterinpitäjälle tai hänen edustajalleen asetetaan velvollisuus antaa rekisteröidylle tietyin edellytyksin tieto muun muassa tietojen vastaanottajista tai vastaanottajaryhmistä. Rekisterinpitäjän tai hänen edustajansa on itse annettava rekisteröidylle nämä tiedot erityisesti tietoja kerättäessä tai, jos tietoja ei ole kerätty suoraan tältä henkilöltä, tietoja rekisteröitäessä tai mahdollisesti silloin, kun näitä tietoja luovutetaan sivulliselle.
69 Näillä säännöksillä asetetaan näin ollen direktiivin 12 artiklan a alakohdasta johtuvista velvoitteista poikkeavia velvoitteita. Siten niillä ei lievennetä mitenkään jäsenvaltioille asetettua velvollisuutta säätää, että rekisterinpitäjän on annettava rekisteröidylle vastaanottajia tai vastaanottajaryhmiä sekä luovutettuja tietoja koskevia tietoja, jos tämä henkilö päättää käyttää hänelle tämän 12 artiklan a alakohdan perusteella annettua tiedonsaantioikeutta. Jäsenvaltioiden on säädettävä toimenpiteistä, joilla pannaan täytäntöön yhtäältä direktiivin 10 ja 11 artiklan säännökset tiedonantovelvollisuudesta ja toisaalta direktiivin 12 artiklan a alakohdan säännökset, ensimmäisten voimatta lieventää toisista johtuvia velvoitteita.
70 Näin ollen esitettyyn kysymykseen on vastattava seuraavalla tavalla:
– Direktiivin 12 artiklan a alakohdassa velvoitetaan jäsenvaltiot säätämään paitsi nykyisyyteen myös menneeseen aikaan kohdistuvasta, vastaanottajia tai vastaanottajaryhmiä sekä luovutettujen tietojen sisältöä koskevasta tiedonsaantioikeudesta. Jäsenvaltioiden tehtävänä on asettaa määräaika näiden tietojen säilyttämiselle ja säätää niitä koskevasta vastaavasta tiedonsaantioikeudesta, joilla saavutetaan oikea tasapaino yhtäältä intressin, joka rekisteröidyllä on yksityiselämänsä suojaamiseen muun muassa direktiivissä säädettyjen puuttumis- ja oikeussuojakeinojen avulla, ja toisaalta sen taakan välillä, jota näiden tietojen säilyttämisvelvollisuus merkitsee rekisterinpitäjälle.
– Säännöstöllä, jolla henkilötietojen vastaanottajia tai vastaanottajaryhmiä sekä luovutettujen tietojen sisältöä koskevien tietojen säilyttäminen rajoitetaan yhteen vuoteen ja jolla rajoitetaan vastaavasti näitä tietoja koskevaa tiedonsaantioikeutta, vaikka perustietoja säilytetään paljon pidempään, ei voida saavuttaa kyseessä olevan intressin ja velvollisuuden oikeaa tasapainoa, ellei osoiteta, että näiden tietojen pidempi säilyttäminen olisi liiallinen taakka rekisterinpitäjälle. Kansallisen tuomioistuimen tehtävänä on suorittaa tarpeelliset tutkimukset.
Oikeudenkäyntikulut
71 Pääasian asianosaisten osalta asian käsittely yhteisöjen tuomioistuimessa on välivaihe kansallisessa tuomioistuimessa vireillä olevan asian käsittelyssä, minkä vuoksi kansallisen tuomioistuimen asiana on päättää oikeudenkäyntikulujen korvaamisesta. Oikeudenkäyntikuluja, jotka ovat aiheutuneet muille kuin näille asianosaisille huomautusten esittämisestä yhteisöjen tuomioistuimelle, ei voida määrätä korvattaviksi.
Näillä perusteilla yhteisöjen tuomioistuin (kolmas jaosto) on ratkaissut asian seuraavasti:
Yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY 12 artiklan a alakohdassa velvoitetaan jäsenvaltiot säätämään paitsi nykyisyyteen myös menneeseen aikaan kohdistuvasta, vastaanottajia tai vastaanottajaryhmiä sekä luovutettujen tietojen sisältöä koskevasta tiedonsaantioikeudesta. Jäsenvaltioiden tehtävänä on asettaa määräaika näiden tietojen säilyttämiselle ja säätää niitä koskevasta vastaavasta tiedonsaantioikeudesta, joilla saavutetaan oikea tasapaino yhtäältä intressin, joka rekisteröidyllä on yksityiselämänsä suojaamiseen muun muassa direktiivissä 95/46 säädettyjen puuttumis- ja oikeussuojakeinojen avulla, ja toisaalta sen taakan välillä, jota näiden tietojen säilyttäminen merkitsee rekisterinpitäjälle.
Säännöstöllä, jolla henkilötietojen vastaanottajia tai vastaanottajaryhmiä sekä luovutettujen tietojen sisältöä koskevien tietojen säilyttäminen rajoitetaan yhteen vuoteen ja jolla rajoitetaan vastaavasti näitä tietoja koskevaa tiedonsaantioikeutta, vaikka perustietoja säilytetään paljon pidempään, ei voida saavuttaa kyseessä olevan intressin ja velvollisuuden oikeaa tasapainoa, ellei osoiteta, että näiden tietojen pidempi säilyttäminen olisi liiallinen taakka rekisterinpitäjälle. Kansallisen tuomioistuimen tehtävänä on suorittaa tarpeelliset tutkimukset.
Allekirjoitukset