UNIONIN TUOMIOISTUIMEN TUOMIO (suuri jaosto)
10 päivänä heinäkuuta 2018 (*)
Ennakkoratkaisupyyntö – Yksilöiden suojelu henkilötietojen käsittelyssä – Direktiivi 95/46/EY – Kyseisen direktiivin soveltamisala – 3 artikla – Henkilötietojen kerääminen, jonka uskonnollisen yhdyskunnan jäsenet suorittavat ovelta ovelle ‑saarnaamistyönsä yhteydessä – 2 artiklan c alakohta – Henkilötietojen rekisteröintijärjestelmän käsite – 2 artiklan d alakohta – Rekisterinpitäjän käsite – Euroopan unionin perusoikeuskirjan 10 artiklan 1 kohta
Asiassa C-25/17,
jossa on kyse SEUT 267 artiklaan perustuvasta ennakkoratkaisupyynnöstä, jonka korkein hallinto-oikeus (Suomi) on esittänyt 22.12.2016 tekemällään päätöksellä, joka on saapunut unionin tuomioistuimeen 19.1.2017, saadakseen ennakkoratkaisun asiassa, jonka on pannut vireille
tietosuojavaltuutettu,
Jehovan todistajat ‑uskonnollisen yhdyskunnan
osallistuessa asian käsittelyyn,
UNIONIN TUOMIOISTUIN (suuri jaosto),
toimien kokoonpanossa: presidentti K. Lenaerts, varapresidentti A. Tizzano, jaostojen puheenjohtajat R. Silva de Lapuerta, T. von Danwitz (esittelevä tuomari), J. L. da Cruz Vilaça, J. Malenovský, E. Levits ja C. Vajda sekä tuomarit A. Borg Barthet, J.-C. Bonichot, A. Arabadjiev, S. Rodin, F. Biltgen, K. Jürimäe ja C. Lycourgos,
julkisasiamies: P. Mengozzi,
kirjaaja: hallintovirkamies C. Strömholm,
ottaen huomioon kirjallisessa käsittelyssä ja 28.11.2017 pidetyssä istunnossa esitetyn,
ottaen huomioon huomautukset, jotka sille ovat esittäneet
– tietosuojavaltuutettu, asiamiehenään R. Aarnio,
– Jehovan todistajat ‑uskonnollinen yhdyskunta, edustajinaan S. H. Brady, asianajaja, ja P. Muzny,
– Suomen hallitus, asiamiehenään H. Leppo,
– Tšekin hallitus, asiamiehinään M. Smolek ja J. Vláčil,
– Italian hallitus, asiamiehenään G. Palmieri, avustajanaan P. Gentili, avvocato dello Stato,
– Euroopan komissio, asiamiehinään P. Aalto, H. Kranenborg ja D. Nardi,
kuultuaan julkisasiamiehen 1.2.2018 pidetyssä istunnossa esittämän ratkaisuehdotuksen,
on antanut seuraavan
tuomion
1 Ennakkoratkaisupyyntö koskee yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY (EYVL 1995, L 281, s. 31) 2 artiklan c ja d alakohdan ja 3 artiklan tulkintaa, tarkasteltuina yhdessä Euroopan unionin perusoikeuskirjan (jäljempänä perusoikeuskirja) 10 artiklan 1 kohdan kanssa.
2 Tämä pyyntö on esitetty asiassa, jonka on pannut vireille tietosuojavaltuutettu ja joka koskee tietosuojalautakunnan antaman sellaisen päätöksen laillisuutta, jolla Jehovan todistajat ‑uskonnollista yhdyskuntaa (jäljempänä yhdyskunta) kiellettiin keräämästä tai muutoin käsittelemästä ovelta ovelle ‑saarnaamistyön yhteydessä henkilötietoja ilman, että jokin henkilötietolaissa säädetyistä henkilötietojen käsittelyn edellytyksistä täyttyy.
Asiaa koskevat oikeussäännöt
Unionin oikeus
3 Direktiivin 95/46 johdanto-osan 10, 12, 15, 26 ja 27 perustelukappaleessa todetaan seuraavaa:
”10) henkilötietojen käsittelyä koskevien kansallisten lainsäädäntöjen tavoitteena on taata perusoikeuksien ja ‑vapauksien kunnioittaminen, erityisesti yksityisyyttä koskevan oikeuden kunnioittaminen, joka tunnustetaan myös [Roomassa 4.11.1950 allekirjoitetun,] ihmisoikeuksien ja perusvapauksien suojaamiseksi tehdyn Euroopan yleissopimuksen 8 artiklassa ja yhteisön oikeuden yleisissä periaatteissa; tämän vuoksi lainsäädäntöjen lähentäminen ei saa johtaa lainsäädännöllä turvattavan tietosuojan heikentymiseen, vaan sillä on päinvastoin varmistettava tietosuojan korkea taso yhteisössä,
– –
12) tietosuojaa koskevia periaatteita on sovellettava kaikenlaiseen henkilötietojen käsittelyyn, siltä osin kuin henkilötietojen käsittelystä vastuussa olevan toiminta kuuluu yhteisön oikeuden soveltamisalaan; periaatteita ei sovelleta luonnollisen henkilön suorittamaan tietojenkäsittelyyn yksinomaan yksityisissä tai henkilökohtaisissa asioissa, joita ovat kirjeenvaihto tai osoitteiston pitäminen,
– –
15) kyseisiä tietoja koskeva käsittely kuuluu tämän direktiivin soveltamisalaan ainoastaan, jos tietojenkäsittely on automaattista tai jos käsiteltävät tiedot sisältyvät tai myöhemmin sisällytetään erityisten yksilöitä koskevien perusteiden mukaan järjestettyyn rekisteriin, siten että mahdollistetaan kyseessä olevien henkilötietojen vaivaton saanti,
– –
26) tietosuojaa koskevia periaatteita on sovellettava kaikkiin tunnistettua tai tunnistettavissa olevaa henkilöä koskeviin tietoihin; sen määrittämiseksi, onko henkilö tunnistettavissa, olisi otettava huomioon kaikki kohtuullisesti toteutettavissa olevat keinot, joita joko rekisterinpitäjä tai joku muu voi kyseisen henkilön tunnistamiseksi käyttää; – –
27) yksilöiden suojelua on sovellettava sekä automaattiseen että manuaaliseen tietojenkäsittelyyn; itse asiassa tietosuojan soveltamisala ei saa olla riippuvainen käytetystä tekniikasta, koska tällainen riippuvaisuus uhkaisi aiheuttaa vakavia väärinkäytöksiä; manuaalisen tietojenkäsittelyn osalta tämän direktiivin soveltamisalaan kuuluvat kuitenkin ainoastaan rekisterit, eivät järjestämättömät tiedot; erityisesti rekisterin sisällön on oltava erityisten yksilöitä koskevien perusteiden mukaan järjestetty, ja henkilötietojen on oltava helposti saatavilla; 2 artiklan c [ala]kohdassa olevan määritelmän mukaisesti kukin jäsenvaltio voi laatia järjestettyjen henkilötietojen määrittelyperusteet ja näiden tietojen saatavuutta sääntelevät perusteet; tämän direktiivin soveltamisalaan eivät missään tapauksessa kuulu sellaiset asiakirjat tai asiakirjojen kokonaisuudet kansilehtineen, joita ei ole järjestetty määriteltyjen perusteiden mukaisesti”.
4 Direktiivin 95/46 1 artiklan 1 kohdassa säädetään seuraavaa:
”Tämän direktiivin mukaisesti jäsenvaltioiden on henkilötietojen käsittelyssä turvattava yksilöille heidän perusoikeutensa ja ‑vapautensa ja erityisesti heidän oikeutensa yksityisyyteen.”
5 Mainitun direktiivin 2 artiklassa säädetään seuraavaa:
”Tässä direktiivissä tarkoitetaan:
a) ’henkilötiedoilla’ kaikenlaisia tunnistettua tai tunnistettavissa olevaa luonnollista henkilöä (’rekisteröity’) koskevia tietoja; tunnistettavissa olevana pidetään henkilöä, joka voidaan suoraan tai epäsuorasti tunnistaa, erityisesti henkilönumeron taikka yhden tai useamman hänelle tunnusomaisen fyysisen, fysiologisen, psyykkisen, taloudellisen, kulttuurillisen tai sosiaalisen tekijän perusteella,
b) ’henkilötietojen käsittelyllä’ (’käsittely’) kaikenlaisia sellaisia toimintoja tai toimintojen kokonaisuuksia, joita kohdistetaan henkilötietoihin joko automaattisen tietojenkäsittelyn avulla tai manuaalisesti, kuten tietojen kerääminen, tallentaminen, järjestäminen, säilyttäminen, muokkaaminen tai muuttaminen, tiedon haku, kysely, käyttö, luovuttaminen siirtämällä, levittämällä tai asettamalla muutoin saataville, yhteensovittaminen tai yhdistäminen sekä suojaaminen, poistaminen tai tuhoaminen,
c) ’henkilötietojen rekisteröintijärjestelmällä’ (’rekisteröintijärjestelmä’) kaikkia sellaisia järjestettyjä henkilötietojen kokoelmia, joista tiedot ovat saatavilla tietyin perustein, oli kokoelma sitten keskitetty, hajautettu tai toiminnallisin tai maantieteellisin perustein jaettu,
d) ’rekisterinpitäjällä’ luonnollista tai oikeushenkilöä, julkista viranomaista, virastoa tai muuta toimielintä, joka, yksin tai yhdessä toisten kanssa, määrittelee henkilötietojen käsittelyn tarkoituksen ja keinot; jos käsittelyn tarkoitus ja keinot määritellään kansallisilla tai yhteisön laeilla tai asetuksilla, rekisterinpitäjä tai erityiset perusteet rekisterinpitäjän nimeämiseksi voidaan vahvistaa kansallisten tai yhteisön säännösten mukaisesti,
– –”
6 Tämän direktiivin 3 artiklassa säädetään seuraavaa:
”1. Tätä direktiiviä sovelletaan osittain tai kokonaan automatisoituun tietojenkäsittelyyn sekä sellaisten henkilötietojen manuaaliseen käsittelyyn, jotka muodostavat rekisterin osan tai joiden on tarkoitus muodostaa rekisterin osa.
2. Tätä direktiiviä ei sovelleta henkilötietojen käsittelyyn,
– joka suoritetaan sellaisessa toiminnassa, joka ei kuulu yhteisön oikeuden soveltamisalaan, kuten toiminta, josta on määrätty Euroopan unionista tehdyn sopimuksen V ja VI osastossa, ja kaikissa tapauksissa käsittely, joka koskee yleistä turvallisuutta, puolustusta, valtion turvallisuutta (myös valtion taloudellista hyvinvointia, kun käsittelyoperaatio on sidoksissa valtion turvallisuutta koskeviin kysymyksiin) ja rikosoikeuden alalla tapahtuvaa valtion toimintaa,
– jonka luonnollinen henkilö suorittaa yksinomaan henkilökohtaisessa tai kotitalouttaan koskevassa toiminnassa.”
Suomen oikeus
7 Direktiivi 95/46 on saatettu osaksi Suomen oikeutta henkilötietolailla (523/1999) (jäljempänä henkilötietolaki).
8 Kyseisen lain 2 §:n, jonka otsikko on ”Soveltamisala”, 2 ja 3 momentissa säädetään seuraavaa:
”Tätä lakia sovelletaan henkilötietojen automaattiseen käsittelyyn. Myös muuhun henkilötietojen käsittelyyn sovelletaan tätä lakia silloin, kun henkilötiedot muodostavat tai niiden on tarkoitus muodostaa henkilörekisteri tai sen osa.
Tämä laki ei koske henkilötietojen käsittelyä, jonka luonnollinen henkilö suorittaa yksinomaan henkilökohtaisiin tai niihin verrattaviin tavanomaisiin yksityisiin tarkoituksiinsa.”
9 Henkilötietolain 3 §:n 3 momentin mukaan henkilörekisterillä tarkoitetaan ”käyttötarkoituksensa vuoksi yhteenkuuluvista merkinnöistä muodostuvaa henkilötietoja sisältävää tietojoukkoa, jota käsitellään osin tai kokonaan automaattisen tietojenkäsittelyn avulla taikka joka on järjestetty kortistoksi, luetteloksi tai muulla näihin verrattavalla tavalla siten, että tiettyä henkilöä koskevat tiedot voidaan löytää helposti ja kohtuuttomitta kustannuksitta”.
10 Henkilötietolain 44 §:n mukaan tietosuojalautakunta voi tietosuojavaltuutetun hakemuksesta muun ohella kieltää kyseisen lain tai sen nojalla annettujen säännösten ja määräysten vastaisen henkilötietojen käsittelyn ja velvoittaa asianomaisen määräajassa oikaisemaan sen, mitä on oikeudettomasti tehty tai laiminlyöty.
Pääasia ja ennakkoratkaisukysymykset
11 Tietosuojalautakunta antoi tietosuojavaltuutetun hakemuksen johdosta 17.9.2013 päätöksen, jolla se kielsi yhdyskuntaa keräämästä tai muutoin käsittelemästä jäsentensä ovelta ovelle ‑saarnaamistyössä henkilötietoja ilman, että jokin henkilötietolain 8 ja 12 §:ssä tarkoitetuista edellytyksistä täyttyy. Se lisäksi velvoitti yhdyskunnan henkilötietolain 44 §:n 2 momentin nojalla kuuden kuukauden määräajassa osaltaan huolehtimaan siitä, että yhdyskunnan tarkoituksia varten ei kerätä henkilötietoja ilman, että edellä mainitut edellytykset täyttyvät.
12 Päätöksensä perusteluissa tietosuojalautakunta katsoi, että kun yhdyskunnan jäsenet keräävät kyseessä olevia tietoja, kyse on henkilötietolain soveltamisalaan kuuluvasta henkilötietojen käsittelystä ja että yhdyskunta ja yhdyskunnan jäsenet yhdessä ovat henkilötietolaissa tarkoitettuja rekisterinpitäjiä.
13 Yhdyskunta valitti päätöksestä Helsingin hallinto-oikeudelle (Suomi). Kyseinen tuomioistuin kumosi mainitun päätöksen 18.12.2014 antamallaan päätöksellä muun muassa sillä perusteella, ettei yhdyskunta ole henkilötietolaissa tarkoitettu rekisterinpitäjä eikä sen toiminnassa ole ilmennyt oikeudetonta henkilötietojen käsittelyä.
14 Tietosuojavaltuutettu valitti hallinto-oikeuden päätöksestä korkeimpaan hallinto-oikeuteen (Suomi).
15 Viimeksi mainitun tuomioistuimen mukaan yhdyskunnan jäsenet tekevät ovelta ovelle ‑saarnaamistyönsä yhteydessä muistiinpanoja tapaamistaan heille ja yhdyskunnalle vieraista ihmisistä. Tiedot voivat koskea esimerkiksi tavattujen henkilöiden nimiä, osoitteita sekä tietoja heidän uskonnollisesta vakaumuksestaan ja perhesuhteistaan. Tiedot kerätään muistin tueksi ja siinä tarkoituksessa, että ne ovat löydettävissä mahdollista myöhempää käyntiä varten, ja ne kerätään ilman kyseessä olevien henkilöiden suostumusta ja ilman, että heitä informoidaan tästä.
16 Edelleenkin ennakkoratkaisua pyytäneen tuomioistuimen mukaan yhdyskunta on antanut jäsenilleen ohjeistusta muistiinpanojen tekemisestä ainakin saarnaamistyötä käsittelevässä lehtisessään. Yhdyskunta ja sen seurakunnat organisoivat ja koordinoivat jäsentensä ovelta ovelle ‑saarnaamistyötä muun muassa pitämällä yllä aluekarttoja, joiden avulla alueet jaetaan evankelioimistyötä tekevien jäsenten kesken, ja julistajakortteja, joihin kirjataan, paljonko jäsen on levittänyt yhdyskunnan julkaisuja. Yhdyskunnan seurakunnat pitävät lisäksi rekisteriä henkilöistä, jotka ovat pyytäneet, että saarnaamistyötä tekevät jäsenet eivät kävisi heidän ovellaan, ja yhdyskunnan yksittäiset jäsenet käyttävät tämän rekisterin (ns. kieltorekisteri) henkilötietoja. Yhdyskunta on lisäksi aiemmin antanut jäsentensä käyttöön lomakkeita edellä mainittujen tietojen keräämiseen evankelioimistyössä. Lomakkeiden käytöstä kuitenkin luovuttiin tietosuojavaltuutetun antaman kehotuksen jälkeen.
17 Ennakkoratkaisua pyytänyt tuomioistuin huomauttaa, että yhdyskunnan itsensä mukaan se ei vaadi saarnaamistyötä tekeviä jäseniään keräämään tietoja ja että jos niitä kuitenkin kerätään, se ei ole tietoinen tehtyjen muistiinpanojen luonteesta – kyseessä ovat joka tapauksessa vain epämuodolliset yksityiset muistiinpanot – eikä siitä, ketkä saarnaamistyötä harjoittavista jäsenistä ovat tietoja keränneet.
18 Tarpeesta esittää ennakkoratkaisupyyntö korkein hallinto-oikeus toteaa, että pääasian tarkastelu edellyttää yhtäältä yksityiselämän ja henkilötietojen suojaa koskevien oikeuksien ja toisaalta uskonnon- ja yhdistymisvapautta koskevien oikeuksien, jotka taataan sekä perusoikeuskirjassa ja Euroopan ihmisoikeussopimuksessa että Suomen perustuslaissa, huomioon ottamista.
19 Ennakkoratkaisua pyytänyt tuomioistuin on taipuvainen katsomaan, että Jehovan todistajien kaltaisen uskonnollisen yhdyskunnan jäsenten harjoittama ovelta ovelle ‑saarnaamistyö ei kuulu toimintaan, joka on jätetty direktiivin 95/46 soveltamisalan ulkopuolelle sen 3 artiklan 2 kohdan ensimmäisen luetelmakohdan nojalla. Sen sijaan nousee esiin kysymys siitä, onko kyseinen toiminta 3 artiklan 2 kohdan toisessa luetelmakohdassa tarkoitettua yksinomaan henkilökohtaista tai kotitaloutta koskevaa toimintaa. Tämän osalta on otettava huomioon se, että käsiteltävässä asiassa kerätyt tiedot menevät pelkkiä osoitteistossa olevia muistiinpanoja pidemmälle, koska tehdyt muistiinpanot koskevat vieraita ihmisiä ja sisältävät arkaluonteisia tietoja heidän uskonnollisesta vakaumuksestaan. Kyseisen tuomioistuimen mukaan on myös otettava huomioon se, että ovelta ovelle ‑saarnaamistyö on uskonnollisen yhdyskunnan olennainen toimintamuoto, jota yhdyskunta ja sen seurakunnat organisoivat ja koordinoivat.
20 Siltä osin kuin pääasiassa kyseessä olevia kerättyjä tietoja ei käsitellä automatisoidusti, on myös määritettävä – direktiivin 95/46 3 artiklan 1 kohta yhdessä saman direktiivin 2 artiklan c alakohdan kanssa tarkasteltuna huomioiden –, muodostavatko tiedot kyseisissä säännöksissä tarkoitetun rekisterin. Yhdyskunnan ilmoituksen mukaan tietoja ei luovuteta sille, joten kerättyjen tietojen laadusta ja määrästä ei ole varmuutta. On kuitenkin mahdollista katsoa, että pääasiassa kyseessä olevien tietojen keräämisen ja myöhemmän käsittelyn tarkoituksena on se, että tiettyä henkilöä tai osoitetta koskevat tiedot on helppo löytää myöhempää käyttöä varten. Kerättyjä tietoja ei kuitenkaan ole järjestetty kortistoiksi.
21 Jos pääasiassa kyseessä oleva tietojen käsittely kuuluu direktiivin 95/46 soveltamisalaan, ennakkoratkaisua pyytänyt tuomioistuin korostaa, että esiin nousee kysymys siitä, onko yhdyskuntaa pidettävä kyseisen direktiivin 2 artiklan d alakohdassa tarkoitettuna rekisterinpitäjänä. Unionin tuomioistuimen 13.5.2014 antamaan tuomioon Google Spain ja Google (C-131/12, EU:C:2014:317) perustuvassa oikeuskäytännössä määritellään rekisterinpitäjän käsite laajasti. Ennakkoratkaisua pyytäneen tuomioistuimen mukaan 16.2.2010 annetusta lausunnosta 1/2010, joka koskee rekisterinpitäjän ja henkilötietojen käsittelijän käsitteitä ja jonka direktiivin 95/46 29 artiklan nojalla perustettu työryhmä on antanut, ilmenee myös, että rekisterinpitäjän määrittelyssä merkitystä on muun muassa tosiasiallisella määräysvallalla sekä sillä, mikä on henkilön, jonka tietoja käsitellään, käsitys rekisterinpitäjästä.
22 Käsiteltävässä asiassa on saman tuomioistuimen mukaan otettava huomioon se, että yhdyskunta organisoi ja koordinoi ovelta ovelle ‑saarnaamistyötä ja kannustaa siihen ja että se ohjeistaa julkaisuissaan tietojen keräämistä saarnaamistyön yhteydessä. Tietosuojavaltuutettu on myös todennut, että kyseisellä yhdyskunnalla on tosiasiallinen valta määritellä tietojen käsittelyn tavat sekä kieltää käsittely tai rajoittaa sitä ja että se on määritellyt aiemmin tietojen käsittelyn tarkoitusta ja keinoja ohjeistamalla tietojen keräämistä. Aiemmin käytössä olleet lomakkeet osoittavat ennakkoratkaisua pyytäneen tuomioistuimen mukaan myös yhdyskunnan vahvan roolin tietojen käsittelyssä.
23 On kuitenkin tarpeen ottaa huomioon myös se, että yhdyskunnan jäsenet voivat itse päättää kerätä tietoja ja määrittää, missä muodossa ne kerätään. Yhdyskunta ei kieltorekisteriä lukuun ottamatta kerää tietoja itselleen, eikä sillä ole pääsyä jäsentensä keräämiin tietoihin. Nämä seikat eivät kuitenkaan estä sitä, että rekisterinpitäjiä olisi useita ja että kullakin niistä olisi erilaisia tehtäviä ja vastuita.
24 Tässä tilanteessa korkein hallinto-oikeus on lykännyt asian käsittelyä ja esittänyt unionin tuomioistuimelle seuraavat ennakkoratkaisukysymykset:
”1) Onko [direktiivin 95/46] 3 artiklan 2 kohdan [ensimmäisessä ja toisessa] luetelmakohdassa säädettyjä soveltamisalaa koskevia poikkeuksia tulkittava siten, että henkilötietojen kerääminen ja muu käsittely, jota uskonnollisen yhdyskunnan jäsenet suorittavat ovelta ovelle ‑saarnaamistyön yhteydessä, ei kuulu direktiivin soveltamisalaan? Mikä merkitys direktiivin [95/46] sovellettavuutta arvioitaessa on toisaalta sillä, että saarnaamistoiminta, jonka yhteydessä tietoja kerätään, on uskonnollisen yhdyskunnan ja sen seurakuntien organisoimaa, ja toisaalta sillä, että kyse on samalla myös uskonnollisen yhdyskunnan jäsenten henkilökohtaisesta uskonnon harjoittamisesta?
2) Onko [direktiivin 95/46] 2 artiklan c [ala]kohdassa tarkoitettua rekisteröintijärjestelmän määritelmää direktiivin perustelukappaleet 26 ja 27 huomioon ottaen tulkittava siten, että edellä kuvatun ovelta ovelle ‑saarnaamistyön yhteydessä manuaalisesti kerättävien henkilötietojen kokonaisuus (nimi- ja osoitetiedot sekä muut mahdolliset henkilöä koskevat tiedot ja luonnehdinnat),
a) ei muodosta tällaista rekisteröintijärjestelmää sen vuoksi, että siihen ei Suomen henkilötietolain määritelmässä esitetyin tavoin liity nimenomaista kortistoa tai luetteloa tai niihin rinnastuvaa hakua palvelevaa järjestelyä; vai
b) muodostaa tällaisen rekisteröintijärjestelmän sen vuoksi, että tiedoista voidaan, niiden käyttötarkoitus huomioon ottaen, Suomen henkilötietolaissa edellytetyin tavoin tosiasiallisesti helposti ja kohtuuttomitta kustannuksitta hakea myöhempää käyttöä varten tarvittavat tiedot?
3) Onko [direktiivin 95/46] 2 artiklan d [ala]kohdan lausetta ”– – joka, yksin tai yhdessä toisten kanssa, määrittelee henkilötietojen käsittelyn tarkoituksen ja keinot – –”, tulkittava siten, että uskonnollista yhdyskuntaa, joka organisoi toimintaa, jonka yhteydessä henkilötietoja kerätään (muun muassa jakamalla toiminta-alueita saarnaajien kesken, seuraamalla saarnaajien työtä sekä pitämällä rekisteriä henkilöistä, jotka eivät halua saarnaajien käyvän luonaan), voidaan pitää sen jäsenten harjoittaman henkilötietojen käsittelyn osalta rekisterinpitäjänä, vaikka yhdyskunnan kertoman mukaan vain yksittäisillä julistajilla on pääsy kirjaamiinsa tietoihin?
4) Onko mainittua d [ala]kohtaa tulkittava siten, että yhdyskunnan pitäminen rekisterinpitäjänä edellyttää yhdyskunnalta muita nimenomaisia toimia, kuten käskyjä tai kirjallisia ohjeita, joilla se ohjaa tietojen keräämistä[,] vai onko riittävää se, että yhdyskunnalla katsotaan olevan tosiasiallinen asema jäsentensä toiminnan ohjaamisessa?
Kysymyksiin 3 ja 4 on tarpeen vastata vain, jos kysymyksiin 1 ja 2 annettujen vastausten perusteella direktiiviä [95/46] on sovellettava. Kysymykseen 4 on tarpeen vastata vain, jos kysymyksen 3 perusteella ei voida pitää poissuljettuna mahdollisuutta soveltaa direktiivin [95/46] 2 artiklan d [ala]kohtaa yhdyskuntaan.”
Vaatimukset aloittaa suullinen käsittely uudelleen
25 Kahdella unionin tuomioistuimen kirjaamoon 12.12.2017 ja 15.2.2018 toimittamallaan asiakirjalla yhdyskunta vaati, että asian käsittelyn suullinen vaihe aloitetaan uudelleen unionin tuomioistuimen työjärjestyksen 83 artiklan mukaisesti. Ensimmäisen vaatimuksen tueksi yhdyskunta väittää muun muassa, että se ei saanut mahdollisuutta vastata suullisessa käsittelyssä muiden osapuolten esittämiin huomautuksiin, joista jotkut eivät sen mukaan vastaa pääasian tosiseikkoja. Toisen vaatimuksen osalta kyseinen yhdyskunta esittää lähinnä, että julkisasiamiehen ratkaisuehdotus perustuu epätarkkoihin tai mahdollisesti harhaanjohtaviin tosiseikkoihin, joista tiettyjä ei mainittu ennakkoratkaisupyynnössä.
26 Työjärjestyksensä 83 artiklan mukaan unionin tuomioistuin voi julkisasiamiestä kuultuaan milloin tahansa määrätä asian käsittelyn suullisen vaiheen aloitettavaksi uudelleen erityisesti, jos se katsoo, ettei sillä ole riittävästi tietoa asiasta, tai jos asianosainen on suullisen vaiheen päättyneeksi julistamisen jälkeen vedonnut uuteen seikkaan, joka voi olennaisesti vaikuttaa unionin tuomioistuimen ratkaisuun, taikka jos asia on ratkaistava sellaisella perusteella, josta asianosaisella tai Euroopan unionin tuomioistuimen perussäännön 23 artiklassa tarkoitetulla osapuolella ei ole ollut tilaisuutta lausua.
27 Näin ei ole nyt käsiteltävässä asiassa. Yhdyskunnan vaatimuksissa, jotka koskevat sitä, että suullinen käsittely aloitetaan uudelleen, ei viitata mihinkään uuteen argumenttiin, jonka perusteella käsiteltävänä oleva asia olisi ratkaistava. Tämän lisäksi kyseinen asianosainen on – Euroopan unionin tuomioistuimen perussäännön 23 artiklassa tarkoitettujen muiden osapuolten tavoin – esittänyt sekä menettelyn kirjallisessa että suullisessa vaiheessa huomautuksensa, jotka koskevat ennakkoratkaisukysymysten kohteena olevien direktiivin 95/46 2 artiklan c ja d alakohdan sekä sen 3 artiklan, tarkasteltuina yhdessä perusoikeuskirjan 10 artiklan kanssa, tulkintaa.
28 Pääasian tosiseikoista on palautettava mieleen, että SEUT 267 artiklassa tarkoitetussa menettelyssä yksinomaan kansallisen tuomioistuimen tehtävänä on määrittää unionin tuomioistuimelle esittämiinsä kysymyksiin liittyvät tosiseikat. Tästä seuraa, että pääasian osapuoli ei voi väittää, että tietyt tosiseikat, joihin muiden Euroopan unionin tuomioistuimen perussäännön 23 artiklassa tarkoitettujen osapuolten esittämät argumentit perustuvat, tai julkiasiamiehen tekemä analyysi olisivat virheellisiä suullisen käsittelyn uudelleen aloittamisen oikeuttamiseksi työjärjestyksen 83 artiklan perusteella (ks. vastaavasti tuomio 26.6.2008, Burda, C-284/06, EU:C:2008:365, 44, 45 ja 47 kohta).
29 Tässä tilanteessa unionin tuomioistuin katsoo julkisasiamiestä kuultuaan, että sillä on käytettävissään kaikki tarvittavat seikat, jotta se voi vastata ennakkoratkaisupyynnön esittäneen tuomioistuimen kysymyksiin, ja että asiaa ei tarvitse ratkaista sellaisten argumenttien perusteella, joista asianosaisilla ei ole ollut tilaisuutta lausua. Suullisen käsittelyn uudelleen aloittamista koskevat vaatimukset on siis hylättävä.
Ennakkoratkaisupyynnön tutkittavaksi ottaminen
30 Yhdyskunta väittää, että ennakkoratkaisupyyntö on jätettävä tutkimatta. Se riitauttaa tärkeimmät tosiseikat, joihin pyyntö perustuu, ja väittää, että tämä liittyy sen tiettyjen jäsenten, jotka eivät ole pääasian asianosaisia, toimintaan. Kyseinen pyyntö koskee siis luonteeltaan hypoteettista ongelmaa.
31 Tämän osalta on todettava, että yksinomaan kansallisen tuomioistuimen, jossa asia on vireillä ja joka vastaa annettavasta ratkaisusta, tehtävänä on kunkin asian erityispiirteiden perusteella harkita, onko ennakkoratkaisu tarpeen asian ratkaisemiseksi ja onko sen unionin tuomioistuimelle esittämillä kysymyksillä merkitystä asian kannalta. Jos esitetyt kysymykset koskevat unionin oikeuden tulkintaa, unionin tuomioistuimen on siten lähtökohtaisesti ratkaistava ne. Unionin tuomioistuin voi jättää tutkimatta kansallisen tuomioistuimen esittämän ennakkoratkaisukysymyksen ainoastaan, jos on ilmeistä, että pyydetyllä unionin oikeuden tulkitsemisella ei ole mitään yhteyttä kansallisessa tuomioistuimessa käsiteltävän asian tosiseikkoihin tai kohteeseen, jos kyseinen ongelma on luonteeltaan hypoteettinen taikka jos unionin tuomioistuimella ei ole tiedossaan niitä tosiseikkoja ja oikeudellisia seikkoja, jotka ovat tarpeen, jotta se voisi antaa hyödyllisen vastauksen sille esitettyihin kysymyksiin (ks. vastaavasti tuomio 27.6.2017, Congregación de Escuelas Pías Provincia Betania, C-74/16, EU:C:2017:496, 24 ja 25 kohta oikeuskäytäntöviittauksineen).
32 Käsiteltävässä asiassa ennakkoratkaisupyynnön esittämisestä tehty päätös sisältää riittävät tosiseikat ja oikeudelliset seikat sekä ennakkoratkaisukysymysten että niiden ulottuvuuden ymmärtämiseksi. Lisäksi ja ennen kaikkea on todettava, että asiakirja-aineistossa ei ole mitään, minkä perusteella voitaisiin katsoa, että pyydetyllä unionin oikeuden tulkitsemisella ei olisi mitään yhteyttä kansallisessa tuomioistuimessa käsiteltävän asian tosiseikkoihin tai kohteeseen tai että ongelma olisi luonteeltaan hypoteettinen erityisesti siksi, että yhdyskunnan jäsenet, joiden ovelta ovelle ‑saarnaamistyö on ennakkoratkaisukysymysten taustalla, eivät ole pääasian asianosaisia. Ennakkoratkaisupyynnöstä nimittäin ilmenee, että ennakkoratkaisukysymyksillä pyritään siihen, että ennakkoratkaisua pyytänyt tuomioistuin kykenee määrittämään, voidaanko yhdyskunnan itsensä katsoa olevan direktiivissä 95/46 tarkoitetulla tavalla vastuussa henkilötietojen keräämisestä, jonka sen jäsenet suorittavat ovelta ovelle ‑saarnaamistyönsä yhteydessä.
33 Ennakkoratkaisupyyntö on tässä tilanteessa otettava tutkittavaksi.
Ennakkoratkaisukysymysten tarkastelu
Ensimmäinen kysymys
34 Ensimmäisellä kysymyksellään ennakkoratkaisua pyytänyt tuomioistuin tiedustelee lähinnä, onko direktiivin 95/46 3 artiklan 2 kohtaa, tarkasteltuna yhdessä perusoikeuskirjan 10 artiklan 1 kohdan kanssa, tulkittava siten, että henkilötietojen kerääminen, jota uskonnollisen yhdyskunnan jäsenet suorittavat ovelta ovelle ‑saarnaamistyön yhteydessä, ja niiden myöhempi käsittely ovat henkilötietojen käsittelyä, joka toteutetaan kyseisen direktiivin 3 artiklan 2 kohdan ensimmäisessä luetelmakohdassa tarkoitetun toiminnan harjoittamiseksi, tai ovatko ne kyseisen direktiivin 3 artiklan 2 kohdan toisessa luetelmakohdassa tarkoitettua luonnollisten henkilöiden suorittamaa henkilötietojen käsittelyä yksinomaan henkilökohtaisessa tai kotitalouttaan koskevassa toiminnassa.
35 Tähän kysymykseen vastaamiseksi on palautettava ensiksi mieleen, että – kuten direktiivin 95/46 1 artiklan 1 kohdasta ja sen johdanto-osan kymmenennestä perustelukappaleesta ilmenee – kyseisellä direktiivillä pyritään turvaamaan luonnollisille henkilöille henkilötietojen käsittelyssä heidän perusoikeutensa ja ‑vapautensa ja erityisesti heidän yksityisyyttä koskevan oikeutensa korkeatasoinen suoja (tuomio 13.5.2014, Google Spain ja Google, C-131/12, EU:C:2014:317, 66 kohta ja tuomio 5.6.2018, Wirtschaftsakademie Schleswig-Holstein, C-210/16, EU:C:2018:388, 26 kohta).
36 Direktiivin 95/46 3 artiklan, jossa määritetään sen soveltamisala, 1 kohdassa täsmennetään, että direktiiviä sovelletaan osittain tai kokonaan automatisoituun tietojenkäsittelyyn sekä sellaisten henkilötietojen manuaaliseen käsittelyyn, jotka muodostavat rekisterin osan tai joiden on tarkoitus muodostaa rekisterin osa.
37 Kyseisen 3 artiklan 2 kohdassa säädetään kuitenkin kahdesta poikkeuksesta direktiivin soveltamisalaan, ja niitä on tulkittava suppeasti (ks. vastaavasti tuomio 11.12.2014, Ryneš, C-212/13, EU:C:2014:2428, 29 kohta ja tuomio 27.9.2017, Puškár, C-73/16, EU:C:2017:725, 38 kohta). Direktiivissä 95/46 ei myöskään säädetä mistään sen soveltamisalaa koskevasta lisärajoituksesta (tuomio 16.12.2008, Satakunnan Markkinapörssi ja Satamedia, C-73/07, EU:C:2008:727, 46 kohta).
38 Ensinnäkin direktiivin 95/46 3 artiklan 2 kohdan ensimmäisessä luetelmakohdassa olevasta poikkeuksesta on todettava, että on katsottu, että siinä esimerkkeinä mainitut toiminnat ovat kussakin tapauksessa valtiolle tai valtion viranomaisille tyypillisiä toimintoja, jotka eivät liity yksityisten henkilöiden toiminta-aloihin. Kyseiset toiminnat on tarkoitettu rajaamaan kyseisessä säännöksessä säädetyn poikkeuksen soveltamisalaa niin, että poikkeusta sovelletaan vain toimintaan, joka siinä on nimenomaisesti mainittu tai jonka voidaan katsoa kuuluvan samaan ryhmään (tuomio 6.11.2003, Lindqvist, C-101/01, EU:C:2003:596, 43 ja 44 kohta; tuomio 16.12.2008, Satakunnan Markkinapörssi ja Satamedia, C-73/07, EU:C:2008:727, 41 kohta ja tuomio 27.9.2017, Puškár, C-73/16, EU:C:2017:725, 36 ja 37 kohta).
39 Käsiteltävässä asiassa se, että yhdyskunnan jäsenet keräävät henkilötietoja ovelta ovelle ‑saarnaamistyössä, kuuluu yksinomaan yksityishenkilöiden uskonnollisen toiminnan piiriin. Tästä seuraa, että tällainen toiminta ei ole valtion viranomaisille tyypillistä toimintaa eikä sitä siis voida rinnastaa direktiivin 95/46 3 artiklan 2 kohdan ensimmäisessä luetelmakohdassa tarkoitettuihin toimintoihin.
40 Toiseksi on todettava direktiivin 95/46 3 artiklan 2 kohdan toisessa luetelmakohdassa olevasta poikkeuksesta, että direktiivin soveltamisalan ulkopuolelle ei kyseisellä säännöksellä jätetä henkilötietojen käsittelyä, joka suoritetaan henkilökohtaisessa tai kotitaloutta koskevassa toiminnassa, sellaisenaan vaan henkilötietojen käsittely, joka suoritetaan ”yksinomaan” henkilökohtaisessa tai kotitaloutta koskevassa toiminnassa (ks. vastaavasti tuomio 11.12.2014, Ryneš, C-212/13, EU:C:2014:2428, 30 kohta).
41 Kyseisessä säännöksessä tarkoitettu ilmaisu ”henkilökohtaisessa tai kotitaloutta koskevassa” viittaa henkilötietoja käsittelevän henkilön toimintaan eikä henkilöön, jonka tietoja käsitellään (ks. vastaavasti tuomio 11.12.2014, Ryneš, C-212/13, EU:C:2014:2428, 31 ja 33 kohta).
42 Kuten unionin tuomioistuin on katsonut, direktiivin 95/46 3 artiklan 2 kohdan toista luetelmakohtaa on tulkittava siten, että se koskee ainoastaan toimintaa, joka kuuluu yksityisten oikeussubjektien yksityis- tai perhe-elämän piiriin. Tämän osalta on todettava, että toiminnan ei voida katsoa olevan yksinomaan henkilökohtaista tai kotitaloutta koskevaa kyseisessä säännöksessä tarkoitetulla tavalla, kun sen tarkoituksena on, että henkilötiedot saatetaan rajoittamattoman henkilöryhmän saataville, tai kun tämä toiminta ulottuu vaikka osittainkin julkiseen tilaan ja kohdistuu tämän vuoksi tietoja tällä tavoin käsittelevän tahon yksityisen piirin ulkopuolelle (ks. vastaavasti tuomio 6.11.2003, Lindqvist, C-101/01, EU:C:2003:596, 47 kohta; tuomio 16.12.2008, Satakunnan Markkinapörssi ja Satamedia, C-73/07, EU:C:2008:727, 44 kohta ja tuomio 11.12.2014, Ryneš, C-212/13, EU:C:2014:2428, 31 ja 33 kohta).
43 Koska on ilmeistä, että pääasiassa kyseessä oleva henkilötietojen käsittely toteutetaan yhdyskunnan jäsenten ovelta ovelle ‑saarnaamistyön yhteydessä, on määritettävä, onko tällainen toiminta luonteeltaan direktiivin 95/46 3 artiklan 2 kohdan toisessa luetelmakohdassa tarkoitettua yksinomaan henkilökohtaista tai kotitaloutta koskevaa toimintaa.
44 Ennakkoratkaisupyynnöstä ilmenee tämän osalta, että ovelta ovelle ‑saarnaamistyön, jonka yhteydessä yhdyskunnan jäsenet keräävät henkilötietoja, tarkoituksena on jo sen luonteen vuoksi levittää yhdyskunnan uskoa henkilöille, jotka eivät kuulu saarnaamistyötä harjoittavien jäsenten ”kotipiiriin”, kuten julkisasiamies lähinnä ratkaisuehdotuksensa 40 kohdassa totesi. Toiminta kohdistuu siis saarnaamistyötä harjoittavien jäsenten yksityisen piirin ulkopuolelle.
45 Ennakkoratkaisupyynnöstä ilmenee myös, että yhdyskunnan saarnaamistyötä harjoittavat jäsenet toimittavat jotkin keräämänsä tiedot yhdyskunnan seurakunnille, jotka pitävät näiden tietojen perusteella rekisteriä henkilöistä, jotka eivät halua, että kyseiset jäsenet käyvät jatkossa heidän ovellaan. Saarnaamistyönsä yhteydessä jäsenet antavat siis potentiaalisesti rajoittamattomalle määrälle ihmisiä mahdollisuuden tutustua tiettyihin kerättyihin tietoihin.
46 Siitä, voiko henkilötietojen käsittely uskonnon harjoittamiseen liittyvän toiminnan yhteydessä merkitä sitä, että ovelta ovelle ‑saarnaamistyö on yksinomaan henkilökohtaista tai kotitaloutta koskevaa toimintaa, on palautettava mieleen, että perusoikeuskirjan 10 artiklan 1 kohdassa vahvistettu oikeus omantunnon ja uskonnon vapauteen merkitsee muun muassa vapautta tunnustaa uskontoa tai vakaumusta joko yksin tai yhdessä muiden kanssa julkisesti tai yksityisesti jumalanpalveluksissa, opettamalla, hartaudenharjoituksissa ja uskonnollisin menoin.
47 Perusoikeuskirjassa annetaan laaja merkitys kyseisessä määräyksessä tarkoitetulle käsitteelle ”uskonto” siten, että siihen sisältyvät sekä forum internum eli se, että henkilöllä on vakaumus, että forum externum eli uskon julkinen tunnustaminen (tuomio 29.5.2018, Liga van Moskeeën en Islamitische Organisaties Provincie Antwerpen ym., C-426/16, EU:C:2018:335, 44 kohta oikeuskäytäntöviittauksineen).
48 Lisäksi vapaus tunnustaa uskontoa yksin tai yhdessä julkisesti tai yksityisesti voi esiintyä eri muodoissa, joita ovat esimerkiksi opettaminen, hartaudenharjoitukset ja uskonnolliset menot, ja siihen sisältyy myös oikeus yrittää vakuuttaa muut ihmiset esimerkiksi saarnaamalla (Euroopan ihmisoikeustuomioistuimen tuomio 25.5.1993, Kokkinakis v. Kreikka, CE:ECHR:1993:0525JUD001430788, 31 kohta ja Euroopan ihmisoikeustuomioistuimen tuomio 8.11.2007, Perry v. Latvia, CE:ECHR:2007:1108JUD003027303, 52 kohta).
49 Vaikka uskonnollisen yhdyskunnan jäsenten ovelta ovelle ‑saarnaamistyötä suojataan tällä tavoin perusoikeuskirjan 10 artiklan 1 kohdalla saarnaajan tai saarnaajien uskon ilmaisuna, tämä ei kuitenkaan merkitse sitä, että kyseinen toiminta on luonteeltaan yksinomaan henkilökohtaista tai kotitaloutta koskevaa toimintaa direktiivin 95/46 3 artiklan 2 kohdan toisessa luetelmakohdassa tarkoitetulla tavalla.
50 Kun otetaan huomioon tämän tuomion 44 ja 45 kohdassa esitetty, saarnaamistyö nimittäin ylittää uskonnollisen yhdyskunnan saarnaajajäsenen yksityisen piirin.
51 Edellä esitetyn perusteella ensimmäiseen kysymykseen on vastattava, että direktiivin 95/46 3 artiklan 2 kohtaa, tarkasteltuna yhdessä perusoikeuskirjan 10 artiklan 1 kohdan kanssa, on tulkittava siten, että henkilötietojen kerääminen, jota uskonnollisen yhdyskunnan jäsenet suorittavat ovelta ovelle ‑saarnaamistyön yhteydessä, ja niiden myöhempi käsittely eivät ole henkilötietojen käsittelyä, joka toteutetaan kyseisen direktiivin 3 artiklan 2 kohdan ensimmäisessä luetelmakohdassa tarkoitetun toiminnan harjoittamiseksi, eivätkä kyseisen direktiivin 3 artiklan 2 kohdan toisessa luetelmakohdassa tarkoitettua luonnollisten henkilöiden suorittamaa henkilötietojen käsittelyä yksinomaan henkilökohtaisessa tai kotitalouttaan koskevassa toiminnassa.
Toinen kysymys
52 Toisella kysymyksellään ennakkoratkaisua pyytänyt tuomioistuin tiedustelee lähinnä, onko direktiivin 95/46 2 artiklan c alakohtaa tulkittava siten, että kyseisessä säännöksessä tarkoitettu rekisteröintijärjestelmän käsite kattaa kaikki henkilötiedot, jotka kerätään ovelta ovelle ‑saarnaamistyön yhteydessä ja joihin kuuluvat nimet ja osoitteet sekä muut tavattuja henkilöitä koskevat tiedot, kun kyseiset tiedot voidaan käytännössä helposti hakea myöhempää käyttöä varten, vai onko tähän tietojen kokonaisuuteen kuuluttava nimenomainen kortisto tai luettelo tai muu hakua palveleva järjestely, jotta se kuuluu kyseisen käsitteen soveltamisalaan.
53 Kuten direktiivin 95/46 3 artiklan 1 kohdasta ja sen johdanto-osan 15 ja 27 perustelukappaleesta ilmenee, direktiivi koskee sekä henkilötietojen automatisoitua käsittelyä että niiden manuaalista käsittelyä, jotta sen henkilöille, joiden tietoja käsitellään, myöntämä suoja ei riippuisi käytetystä tekniikasta ja jotta vältettäisiin vaara kyseisen suojan kiertämisestä. Niistä seuraa kuitenkin myös, että kyseistä direktiiviä sovelletaan henkilötietojen manuaaliseen käsittelyyn vain silloin, kun käsitellyt tiedot muodostavat rekisterin osan tai niiden on tarkoitus muodostaa rekisterin osa.
54 Käsiteltävässä asiassa on niin, että koska pääasiassa kyseessä oleva henkilötietojen käsittely tapahtuu manuaalisesti, nousee esiin kysymys siitä, muodostavatko näin käsitellyt tiedot rekisterin osan tai onko niiden tarkoitus muodostaa rekisterin osa direktiivin 95/46 2 artiklan c alakohdassa ja 3 artiklan 1 kohdassa tarkoitetulla tavalla.
55 Tämän osalta direktiivin 95/46 2 artiklan c alakohdasta ilmenee, että rekisteröintijärjestelmän käsite kattaa ”kaikki sellaiset järjestetyt henkilötietojen kokoelmat, joista tiedot ovat saatavilla tietyin perustein, oli kokoelma sitten keskitetty, hajautettu tai maantieteellisin perustein jaettu”.
56 Tämän tuomion 53 kohdassa mieleen palautetun tavoitteen mukaisesti kyseisessä säännöksessä määritellään rekisterin käsite laajasti siten, että se koskee muun muassa ”kaikkia” järjestettyjä henkilötietojen kokoelmia.
57 Kuten direktiivin 95/46 johdanto-osan 15 ja 27 perustelukappaleesta ilmenee, rekisterin sisällön on oltava järjestetty, jotta mahdollistetaan kyseessä olevien henkilötietojen vaivaton saanti. Vaikka kyseisen direktiivin 2 artiklan c alakohdassa ei myöskään täsmennetä kriteerejä, joiden mukaan kyseinen rekisteri on järjestettävä, samoista perustelukappaleista ilmenee, että kyseisten kriteerien on oltava ”yksilöitä koskevia”. On siis ilmeistä, että vaatimuksella, jonka mukaan henkilötietojen on oltava ”erityisten – – perusteiden mukaan järjestetty”, pyritään yksinomaan siihen, että henkilöä koskevat tiedot voidaan löytää helposti.
58 Tätä vaatimusta lukuun ottamatta direktiivin 95/46 2 artiklan c alakohdassa ei säädetä yksityiskohtaisista säännöistä, joiden mukaan rekisteri on järjestettävä, eikä muodosta, jossa sen on oltava. Kyseisestä säännöksestä tai direktiivin mistään muustakaan säännöksestä ei erityisesti ilmene, että asianomaisten henkilötietojen on oltava nimenomaisissa kortistoissa tai luetteloissa tai muussa hakua palvelevassa järjestelyssä, jotta voitaisiin katsoa, että mainitussa direktiivissä tarkoitettu rekisteri on olemassa.
59 Käsiteltävässä asiassa ennakkoratkaisua pyytäneen tuomioistuimen toteamuksista ilmenee, että pääsiassa kyseessä olevan ovelta ovelle ‑saarnaamistyön yhteydessä kerätyt tiedot kerätään muistin tueksi maantieteellisin perustein jaettujen alueiden perusteella jo tavattujen henkilöiden luona tapahtuvien myöhempien käyntien organisoimisen helpottamiseksi. Ne sisältävät paitsi tietoja tavatun henkilön vakaumusta koskevien keskustelujen sisällöstä myös tämän nimen ja osoitteen. Kyseisiä tietoja – tai ainakin joitakin niistä – käytetään lisäksi yhdyskunnan seurakuntien pitämien sellaisten rekisterien laatimiseen, jotka koskevat henkilöitä, jotka eivät halua, että yhdyskunnan saarnaajajäsenet käyvät heidän ovellaan.
60 On näin ollen ilmeistä, että pääasiassa kyseessä olevan ovelta ovelle ‑saarnaamistyön yhteydessä kerätyt henkilötiedot järjestetään sellaisten kriteerien perusteella, jotka on hyväksytty tietojen keräämisen sen tavoitteen mukaan, joka on tulevien käyntien valmistelu ja rekisterien pitäminen henkilöistä, jotka eivät halua, että heidän ovellaan käydään. Kuten ennakkoratkaisupyynnöstä ilmenee, kyseiset kriteerit, joihin kuuluvat muun muassa tavattujen henkilöiden nimi ja osoite, heidän uskonnollinen vakaumuksena tai heidän toiveensa siitä, ettei heidän ovellaan enää käytäisi, valitaan siten, että ne mahdollistavat tiettyjä henkilöitä koskevien tietojen hakemisen helposti.
61 Tämän osalta se, minkä nimenomaisen kriteerin mukaan ja missä nimenomaisessa muodossa kunkin saarnaamistyötä harjoittavan jäsenen keräämien henkilötietojen kokonaisuus todella järjestetään, on merkityksetöntä, kunhan tämän kokonaisuuden perusteella voidaan löytää helposti tiettyä tavattua henkilöä koskevat tiedot, mikä ennakkoratkaisua pyytäneen tuomioistuimen on kuitenkin selvitettävä pääasian kakki olosuhteet huomioiden.
62 Toiseen kysymykseen on siis vastattava, että direktiivin 95/46 2 artiklan c alakohtaa on tulkittava siten, että kyseisessä säännöksessä tarkoitettu rekisteröintijärjestelmän käsite kattaa kaikki henkilötiedot, jotka kerätään ovelta ovelle ‑saarnaamistyön yhteydessä ja joihin kuuluvat nimet ja osoitteet sekä muut tavattuja henkilöitä koskevat tiedot, kun kyseiset tiedot järjestetään tiettyjen sellaisten kriteerien mukaan, joiden ansiosta ne voidaan käytännössä helposti hakea myöhempää käyttöä varten. Jotta tällainen tietojen kokonaisuus kuuluisi kyseisen käsitteen soveltamisalaan, ei ole tarpeen, että se sisältää nimenomaisia kortistoja tai luetteloja tai muita hakua palvelevia järjestelyjä.
Kolmas ja neljäs kysymys
63 Kolmannella ja neljännellä kysymyksellään, joita on tarkasteltava yhdessä, ennakkoratkaisua pyytänyt tuomioistuin tiedustelee lähinnä, onko direktiivin 95/46 2 artiklan d alakohtaa, tarkasteltuna yhdessä perusoikeuskirjan 10 artiklan 1 kohdan kanssa, tulkittava siten, että sen perusteella uskonnollista yhdyskuntaa voidaan pitää – yhdessä saarnaamistyötä harjoittavien jäsentensä kanssa – rekisterinpitäjänä henkilötietojen käsittelyn osalta, jota viimeksi mainitut harjoittavat yhdyskunnan organisoiman ja koordinoiman ovelta ovelle ‑saarnaamistyön, johon tämä myös kannustaa, yhteydessä, ja onko tässä tarkoituksessa tarpeen, että kyseisellä yhdyskunnalla on oikeus tutustua tietoihin tai että osoitetaan, että se on antanut jäsenilleen kirjallisia ohjeita tai käskyjä, jotka koskevat kyseistä käsittelyä.
64 Käsiteltävässä asiassa tietosuojalautakunta katsoi pääasiassa kyseessä olevassa päätöksessä, että yhdyskunta ja sen saarnaamistyötä harjoittavat jäsenet ovat rekisterinpitäjiä henkilötietojen käsittelyn osalta, jota viimeksi mainitut harjoittavat ovelta ovelle ‑saarnaamistyön yhteydessä. Koska yksinomaan kyseisen yhdyskunnan vastuu kiistetään, saarnaamistyötä harjoittavien jäsenten vastuuta ei ilmeisesti aseteta kyseenalaiseksi.
65 Kuten direktiivin 95/46 2 artiklan d alakohdassa nimenomaisesti säädetään, rekisterinpitäjän käsite viittaa luonnolliseen henkilöön tai oikeushenkilöön, joka ”yksin tai yhdessä toisten kanssa” määrittelee henkilötietojen käsittelyn tarkoituksen ja keinot. Kyseisellä käsitteellä ei näin ollen välttämättä viitata yhteen ainoaan luonnolliseen henkilöön tai oikeushenkilöön ja se voi koskea useita toimijoita, jotka osallistuvat mainittuun käsittelyyn, jolloin kuhunkin niistä on sovellettava tietosuojan alalla sovellettavia säännöksiä (ks. vastaavasti tuomio 5.6.2018, Wirtschaftsakademie Schleswig-Holstein, C-210/16, EU:C:2018:388, 29 kohta).
66 Koska kyseisen säännöksen tavoitteena on varmistaa rekisteröityjen tehokas ja kattava suojelu määrittelemällä rekisterinpitäjän käsite laajasti, yhteisvastuu ei välttämättä merkitse henkilötietojen käsittelyyn osallistuvien eri toimijoiden samanlaista vastuuta. Kyseiset toimijat voivat päinvastoin osallistua henkilötietojen käsittelyyn eri vaiheissa ja eriasteisesti, joten niiden vastuun taso on arvioitava ottaen huomioon kaikki kyseisessä tapauksessa merkitykselliset seikat (ks. vastaavasti tuomio 5.6.2018, Wirtschaftsakademie Schleswig-Holstein, C-210/16, EU:C:2018:388, 28, 43 ja 44 kohta).
67 Tämän osalta on todettava, ettei direktiivin 95/46 2 artiklan d alakohdan sanamuodon eikä minkään muunkaan kyseisen direktiivin säännöksen perusteella voida katsoa, että tietojen käsittelyn tarkoituksen ja keinojen määrittämisen olisi tapahduttava rekisterinpitäjän kirjallisten ohjeiden tai käskyjen perusteella.
68 Luonnollista henkilöä tai oikeushenkilöä, joka vaikuttaa omia tarkoituksiaan varten henkilötietojen käsittelyyn ja osallistuu tämän vuoksi kyseisen käsittelyn tarkoituksen ja keinojen määrittämiseen, voidaan sen sijaan pitää direktiivin 95/46 2 artiklan d alakohdassa tarkoitettuna rekisterinpitäjänä.
69 Se, että useampi toimija on yhteisvastuussa samasta henkilötietojen käsittelystä, ei myöskään edellytä sitä, että kaikilla niistä on pääsy kyseisiin henkilötietoihin (ks. vastaavasti tuomio 5.6.2018, Wirtschaftsakademie Schleswig-Holstein, C-210/16, EU:C:2018:388, 38 kohta).
70 Kuten ennakkoratkaisupyynnöstä ilmenee, käsiteltävässä asiassa yhdyskunnan saarnaamistyötä harjoittavien jäsenten on toki arvioitava, missä konkreettisessa tilanteessa he keräävät tavattujen henkilöiden henkilötietoja, mitä nimenomaisia tietoja kerätään ja millä tavoin he niitä myöhemmin käsittelevät. Kuten tämän tuomion 43 ja 44 kohdassa kuitenkin palautettiin mieleen, henkilötietojen kerääminen suoritetaan ovelta ovelle ‑saarnaamistyön, jonka avulla yhdyskunnan saarnaamistyötä harjoittavat jäsenet levittävät yhdyskuntansa uskoa, yhteydessä. Kuten ennakkoratkaisupyynnöstä ilmenee, kyseinen saarnaamistyö on yhdyskunnan keskeinen toimintamuoto ja kyseinen yhdyskunta organisoi ja koordinoi tätä toimintaa ja kannustaa siihen. Tässä yhteydessä tiedot kerätään muistin tueksi, jotta niitä voidaan käyttää myöhemmän mahdollisen uuden käynnin yhteydessä. Yhdyskunnan seurakunnilla on niiden saarnaamistyötä harjoittavien jäsenten niille toimittamien tietojen perusteella rekistereitä henkilöistä, jotka eivät halua, että jäsenet käyvät jatkossa heidän ovellaan.
71 On siis ilmeistä, että tavattujen henkilöiden henkilötietojen keräämisellä ja niiden myöhemmällä käsittelyllä palvellaan yhdyskunnan uskon levittämistä koskevan tavoitteen toteutumista, ja tämän vuoksi saarnaamistyötä harjoittavat jäsenet suorittavat tätä toimintaa yhdyskunnan omia tarkoituksia varten. Paitsi että yhdyskunta on yleisesti ottaen tietoinen siitä, että tällaista käsittelyä tapahtuu sen uskon levittämiseksi, se myös organisoi ja koordinoi jäsentensä saarnaamistyötä muun muassa jakamalla eri saarnaajien toiminta-alueet.
72 Tällaisten seikkojen perusteella voidaan katsoa, että yhdyskunta kannustaa saarnaamistyötä harjoittavia jäseniään henkilötietojen käsittelyyn saarnaamistyön yhteydessä.
73 Unionin tuomioistuimelle toimitettu asiakirja-aineisto huomioiden vaikuttaa näin ollen siltä, että kun yhdyskunta organisoi ja koordinoi jäsentensä saarnaamistyötä, jolla pyritään sen uskon levittämiseen, ja kannustaa siihen, se osallistuu – yhdessä saarnaamistyötä harjoittavien jäsentensä kanssa – tavattujen henkilöiden henkilötietojen käsittelyyn, mitä ennakkoratkaisua pyytäneen tuomioistuimen on kuitenkin arvioitava asian kaikki olosuhteet huomioiden.
74 Tätä toteamusta ei voida asettaa kyseenalaiseksi SEUT 17 artiklaan perustuvalla uskonnollisten yhdyskuntien organisatorisen autonomian periaatteella. Kunkin henkilön velvollisuutta noudattaa henkilötietojen suojaa koskevia unionin oikeuden sääntöjä ei nimittäin voida pitää puuttumisena kyseisten yhdyskuntien organisatoriseen autonomiaan (ks. analogisesti tuomio 17.4.2018, Egenberger, C-414/16, EU:C:2018:257, 58 kohta).
75 Edellä esitetyn perusteella kolmanteen ja neljänteen kysymykseen on vastattava, että direktiivin 95/46 2 artiklan d alakohtaa, tarkasteltuna yhdessä perusoikeuskirjan 10 artiklan 1 kohdan kanssa, on tulkittava siten, että sen perusteella uskonnollista yhdyskuntaa voidaan pitää – yhdessä saarnaamistyötä harjoittavien jäsentensä kanssa – rekisterinpitäjänä henkilötietojen käsittelyn osalta, jota viimeksi mainitut harjoittavat yhdyskunnan organisoiman ja koordinoiman ovelta ovelle ‑saarnaamistyön, johon tämä myös kannustaa, yhteydessä, eikä ole tarpeen, että kyseisellä yhdyskunnalla on oikeus tutustua tietoihin tai että osoitetaan, että se on antanut jäsenilleen kirjallisia ohjeita tai käskyjä, jotka koskevat kyseistä käsittelyä.
Oikeudenkäyntikulut
76 Pääasian asianosaisten osalta asian käsittely unionin tuomioistuimessa on välivaihe kansallisessa tuomioistuimessa vireillä olevan asian käsittelyssä, minkä vuoksi kansallisen tuomioistuimen asiana on päättää oikeudenkäyntikulujen korvaamisesta. Oikeudenkäyntikuluja, jotka ovat aiheutuneet muille kuin näille asianosaisille huomautusten esittämisestä unionin tuomioistuimelle, ei voida määrätä korvattaviksi.
Näillä perusteilla unionin tuomioistuin (suuri jaosto) on ratkaissut asian seuraavasti:
1) Yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY 3 artiklan 2 kohtaa, tarkasteltuna yhdessä Euroopan unionin perusoikeuskirjan 10 artiklan 1 kohdan kanssa, on tulkittava siten, että henkilötietojen kerääminen, jota uskonnollisen yhdyskunnan jäsenet suorittavat ovelta ovelle ‑saarnaamistyön yhteydessä, ja niiden myöhempi käsittely eivät ole henkilötietojen käsittelyä, joka toteutetaan kyseisen direktiivin 3 artiklan 2 kohdan ensimmäisessä luetelmakohdassa tarkoitetun toiminnan harjoittamiseksi, eivätkä kyseisen direktiivin 3 artiklan 2 kohdan toisessa luetelmakohdassa tarkoitettua luonnollisten henkilöiden suorittamaa henkilötietojen käsittelyä yksinomaan henkilökohtaisessa tai kotitalouttaan koskevassa toiminnassa.
2) Direktiivin 95/46 2 artiklan c alakohtaa on tulkittava siten, että kyseisessä säännöksessä tarkoitettu rekisteröintijärjestelmän käsite kattaa kaikki henkilötiedot, jotka kerätään ovelta ovelle ‑saarnaamistyön yhteydessä ja joihin kuuluvat nimet ja osoitteet sekä muut tavattuja henkilöitä koskevat tiedot, kun kyseiset tiedot järjestetään tiettyjen sellaisten kriteerien mukaan, joiden ansiosta ne voidaan käytännössä helposti hakea myöhempää käyttöä varten. Jotta tällainen tietojen kokonaisuus kuuluisi kyseisen käsitteen soveltamisalaan, ei ole tarpeen, että se sisältää nimenomaisia kortistoja tai luetteloja tai muita hakua palvelevia järjestelyjä.
3) Direktiivin 95/46 2 artiklan d alakohtaa, tarkasteltuna yhdessä perusoikeuskirjan 10 artiklan 1 kohdan kanssa, on tulkittava siten, että sen perusteella uskonnollista yhdyskuntaa voidaan pitää – yhdessä saarnaamistyötä harjoittavien jäsentensä kanssa – rekisterinpitäjänä henkilötietojen käsittelyn osalta, jota viimeksi mainitut harjoittavat yhdyskunnan organisoiman ja koordinoiman ovelta ovelle ‑saarnaamistyön, johon tämä myös kannustaa, yhteydessä, eikä ole tarpeen, että kyseisellä yhdyskunnalla on oikeus tutustua tietoihin tai että osoitetaan, että se on antanut jäsenilleen kirjallisia ohjeita tai käskyjä, jotka koskevat kyseistä käsittelyä.
Lenaerts | Tizzano | Silva de Lapuerta |
von Danwitz | da Cruz Vilaça | Malenovský |
Julistettiin Luxemburgissa 10 päivänä heinäkuuta 2018.
A. Calot Escobar | | K. Lenaerts |