EUROOPA KOHTU OTSUS (teine koda)
4. mai 2017(1)
Eelotsusetaotlus – Direktiiv 95/46/EÜ – Artikli 7 punkt f – Isikuandmed – Isikuandmete töötlemise seaduslikkuse tingimused – Mõiste „vajalikkus kolmanda isiku õigustatud huvide elluviimiseks“ – Liiklusõnnetuse põhjustanud isiku suhtes kohtusse nõude esitamiseks vajalike isikuandmete avalikustamise taotlus – Vastutava töötleja kohustus niisugune taotlus rahuldada – Puudumine
Kohtuasjas C‑13/16,
mille ese on ELTL artikli 267 alusel Augstākās tiesas Administratīvo lietu departaments’i (Läti kõrgeima kohtu halduskolleegium) 30. detsembri 2015. aasta otsusega esitatud eelotsusetaotlus, mis saabus Euroopa Kohtusse 8. jaanuaril 2016, menetluses
Valsts policijas Rīgas reģiona pārvaldes Kārtības policijas pārvalde
versus
Rīgas pašvaldības SIA „Rīgas satiksme“,
EUROOPA KOHUS (teine koda),
koosseisus: koja president M. Ilešič, kohtunikud A. Prechal, A. Rosas (ettekandja), C. Toader ja E. Jarašiūnas,
kohtujurist: M. Bobek,
kohtusekretär: ametnik M. Aleksejev,
arvestades kirjalikus menetluses ja 24. novembri 2016. aasta kohtuistungil esitatut,
arvestades seisukohti, mille esitasid:
– Rīgas pašvaldības SIA „Rīgas satiksme“, esindaja: L. Bemhens,
– Läti valitsus, esindajad: M. I. Kalniņš ning A. Bogdanova,
– Tšehhi valitsus, esindajad: J. Vláčil ja M. Smolek,
– Hispaania valitsus, esindaja: M. J. García-Valdecasas Dorrego,
– Austria valitsus, esindaja: G. Eberhard,
– Portugali valitsus, esindajad: L. Inez Fernandes, M. Figueiredo ja C. Vieira Guerra,
– Euroopa Komisjon, esindajad: D. Nardi, H. Kranenborg ja I. Rubene,
olles 26. jaanuari 2017. aasta kohtuistungil ära kuulanud kohtujuristi ettepaneku,
on teinud järgmise
otsuse
1 Eelotsusetaotlus käsitleb küsimust, kuidas tõlgendada Euroopa Parlamendi ja nõukogu 24. oktoobri 1995. aasta direktiivi 95/46/EÜ üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta (EÜT 1995, L 281, lk 31; ELT eriväljaanne 13/15, lk 355) artikli 7 punkti f.
2 Taotlus on esitatud kohtuvaidluses Valsts policijas Rīgas reģiona pārvaldes Kārtības policijas pārvalde (Riia piirkonna korrakaitsebüroo liiklusväärtegusid menetlev osakond, Läti) (edaspidi „politseiamet“) ja Rīgas pašvaldības SIA „Rīgas satiksme“ (Riia linna trollibussiteenust osutav äriühing) (edaspidi „Rīgas satiksme“) vahel liiklusõnnetuse tekitaja isikuandmete avalikustamise taotluse üle.
Õiguslik raamistik
Liidu õigus
3 Direktiivi 95/46 artiklis 1 „Direktiivi eesmärk“ on ette nähtud:
„1. Vastavalt käesolevale direktiivile kaitsevad liikmesriigid isikuandmete töötlemisel füüsiliste isikute põhiõigusi ja -vabadusi ning eelkõige nende õigust eraelu puutumatusele.
2. Liikmesriigid ei piira ega keela isikuandmete vaba liikumist liikmesriikide vahel põhjustel, mis on seotud lõikes 1 sätestatud kaitsega.“
4 Selle direktiivi artiklis 2 on sätestatud:
„Käesolevas direktiivis kasutatakse järgmisi mõisteid:
a) isikuandmed – igasugune teave tuvastatud või tuvastatava füüsilise isiku (edaspidi „andmesubjekt“) kohta. Tuvastatav isik on isik, keda saab otseselt või kaudselt tuvastada, eelkõige isikukoodi põhjal või ühe või mitme tema füüsilisele, füsioloogilisele, vaimsele, majanduslikule, kultuurilisele või sotsiaalsele identsusele omase joone põhjal;
b) isikuandmete töötlemine (edaspidi „töötlemine“) – iga isikuandmetega tehtav toiming või toimingute kogum, olenemata sellest, kas see on automatiseeritud või mitte, näiteks kogumine, salvestamine, korrastamine, säilitamine, kohandamine või muutmine, väljavõtete tegemine, päringu teostamine, kasutamine, üleandmine, levitamine või muul moel avaldamine, ühitamine või ühendamine, sulgemine, kustutamine või hävitamine;
[…]
d) vastutav töötleja – füüsiline või juriidiline isik, riigiasutus, esindused või mõni muu organ, kes määrab üksi või koos teistega kindlaks isikuandmete töötlemise eesmärgid ja vahendid; kui töötlemise eesmärgid ja vahendid on kindlaks määratud siseriiklike või ühenduse õigusnormidega, võib vastutava töötleja või tema ametissemääramise sätestada siseriiklikus või ühenduse õiguses;
[…]“.
5 Direktiivi 95/46 artiklis 5 on sätestatud:
„Kuivõrd see on lubatud käesoleva peatüki sätetega, määravad liikmesriigid täpsemalt kindlaks tingimused, mille puhul isikuandmete töötlemine on seaduslik.“
6 Direktiivi 95/46 II peatüki II jakku „Andmetöötluse seaduslikkuse kriteeriumid“ kuuluvas artiklis 7 on sätestatud:
„Liikmesriigid sätestavad, et isikuandmeid võib töödelda ainult juhul, kui:
a) andmesubjekt on selleks andnud oma ühemõttelise nõusoleku
või
b) töötlemine on vajalik sellise lepingu täitmiseks, mille osapool andmesubjekt on, või lepingu sõlmimisele eelnevate meetmete võtmiseks vastavalt andmesubjekti taotlusele
või
c) töötlemine on vajalik vastutava töötleja seadusjärgse kohustuse täitmiseks
või
d) töötlemine on vajalik andmesubjekti eluliste huvide kaitsmiseks
või
e) töötlemine on vajalik üldiste huvidega seotud ülesande täitmiseks või sellise avaliku võimu teostamiseks, mis on tehtud ülesandeks [vastutavale] töötlejale või andmeid saavale kolmandale isikule
või
f) töötlemine on vajalik vastutava töötleja või andmeid saava kolmanda isiku või kolmandate isikute õigustatud huvide elluviimiseks, kui selliseid huve ei kaalu üles artikli 1 lõike 1 kohaselt kaitstavate andmesubjekti põhiõiguste ja -vabadustega seotud huvid.“
7 Direktiivi artikli 8 lõike 2 punktis e on ette nähtud, et teatavate isikuandmete, näiteks selliste, mis paljastavad rassilise päritolu või poliitilised vaated, töötlemise keeldu ei kohaldata, kui töödeldakse andmeid, mille andmesubjekt on ilmselgelt avalikustanud, või kui töötlemine on vajalik õigusnõuete koostamiseks, esitamiseks või kaitsmiseks.
Läti õigus
8 23. märtsi 2000. aasta isikuandmete kaitse seaduse (Fizisko personu datu aizsardzības likums; Latvijas Vēstnesis, 2000, nr 123/124) § 6 on sätestatud:
„Igal füüsilisel isikul on õigus oma isikuandmete kaitsele.“
9 Selle seaduse §‑s 7, millega võeti üle direktiivi 95/46 artikkel 7, on sätestatud, et isikuandmete töötlemine on lubatud ainult siis, kui käesolev seadus ei sätesta teisiti ja kui on täidetud vähemalt üks alljärgnevatest tingimustest:
„1) andmesubjekt on andnud oma nõusoleku;
2) töötlemine on vajalik andmesubjekti lepinguliste kohustuste täitmiseks või töötlemine on vajalik lepingu sõlmimiseks; viimasel juhul peab andmesubjekt esitama vastavasisulise taotluse;
3) andmete töötlemine on vajalik vastutava töötleja seadusjärgse kohustuse täitmiseks;
4) andmete töötlemine on vajalik andmesubjekti eluliste huvide, sealhulgas elu ja tervise kaitsmiseks;
5) andmete töötlemine on vajalik avalike huvide kaitsmiseks või selliste avaliku huvi ülesannete täitmiseks, mille teostamiseks andmed avalikustatakse vastutavale töötlejale või kolmandale isikule;
6) andmete töötlemine on vajalik vastutava töötleja või andmeid saava kolmanda isiku õigustatud huvide elluviimiseks, ilma et see kahjustaks andmesubjekti põhiõigusi ja ‑vabadusi.“
10 Selle seaduse §‑s 12 on ette nähtud, et isikuandmeid, mis on seotud süütegude, kriminaalkorras või halduskorras süüdimõistmisega, samuti kohtuotsuste või kohtutoimikutega, võib töödelda üksnes seaduses ette nähtud isik seaduses sätestatud juhtudel.
11 Läti väärteoseadustiku (Administratīvo pārkāpumu kodekss) § 261 kohaselt võib isik, kellele on väärteoga tekitatud kahju, taotleda väärteoasja läbivaatamiseks pädevalt asutuselt või ametnikult otsesõnu enda tunnustamist kannatanuna. Kõnealuses sättes on ette nähtud kannatanute õigused, kaasa arvatud õigus tutvuda toimikuga ja kasutada oma menetlusõigusi kahjuhüvitise saamiseks.
Põhikohtuasi ja eelotsuse küsimused
12 Riias toimus 2012. aasta detsembris liiklusõnnetus. Nimelt jättis üks taksojuht oma sõiduki teeveerele seisma. Just siis kui Rīgas satiksme troll taksost mööda sõitis, avas takso tagaistmel istuv klient sõiduki ukse, mis trollikeret riivas ning seda kahjustas. Algatati väärteomenetlus ning vormistati väärteootsus.
13 Kuivõrd Rīgas satiksme pidas alguses liiklusõnnetuse eest vastutavaks taksojuhti, nõudis ta hüvitist kindlustusandjalt, kelle juures takso omanik või volitatud kasutaja oli tsiviilvastutust puudutavas kindlustatud. Ent kindlustusandja teatas Rīgas satiksmele, et ei maksa talle mingit hüvitist, kuna õnnetuse põhjustas taksos olnud kliendi ja mitte taksojuhi käitumine. Ta soovitas Rīgas satiksmel esitada oma nõue tsiviilkorras kliendi vastu.
14 Rīgas satiksme pöördus politseiameti poole, paludes teavet isiku kohta, kellele oli liiklusõnnetuse eest määratud väärteokaristus; ta palus edastada koopia dokumentidest, millega vormistati taksojuhi ja kliendi avaldused õnnetuse asjaolude kohta, ning soovis teada saada takso kliendi nime, eesnime, isikukoodi ja elukohta. Rīgas satiksme täpsustas politseiametis, et taotletud teavet kasutatakse üksnes tsiviilnõude esitamiseks.
15 Politseiamet rahuldas Rīgas satiksme taotluse vaid osaliselt, tehes talle teatavaks takso kliendi nime ja eesnime, kuid keeldus avalikustamast tema isikukoodi ja elukohta. Samuti ei edastanud ta Rīgas satiksmele liiklusõnnetuses osalenute avaldusi.
16 Politseiamet põhjendas oma otsust sellega, et väärteomenetlusega seonduvat teavet saab anda üksnes menetlusosalistele. Rīgas satiksme aga ei olnud osaline selles väärteomenetluses. Läti väärteoseadustiku kohaselt tunnustab väärteoasja läbivaatamiseks pädev asutus või ametnik isikut väärteomenetluse raames kannatanuna tema taotluse alusel. Käesoleval juhul Rīgas satiksme seda õigust ei kasutanud.
17 Rīgas satiksme kaebas politseiameti otsuse administratīvā rajona tiesa’sse (esimese astme halduskohus, Läti) osas, milles keelduti avalikustamast õnnetusega seotud kliendi isikukoodi ja elukohta. See kohus rahuldas 16. mai 2014. aasta otsusega Rīgas satiksme kaebuse ja kohustas politseiametit andma kaebuses nõutavat teavet, see tähendab taksokliendi isikukoodi ja elukoha aadressi.
18 Politseiamet esitas eelotsusetaotluse esitanud kohtule kassatsioonkaebuse. Eelotsusetaotluse esitanud kohus palus seisukohta datu valsts inspekcija’lt (Läti andmekaitseamet; edaspidi „andmekaitseamet“), kes märkis oma 13. oktoobri 2015. aasta vastuses, et käesolevas põhikohtuasjas ei saa isikuandmeid avalikustada isikuandmete kaitse seaduse § 7 punkti 6 alusel, sest Läti väärteoseadustikus on loetletud isikud, kellele politseiamet võib asjaga seonduvat teavet avalikustada. Seega on andmekaitseameti hinnangul väärteomenetlusega seonduvate isikuandmete avalikustamine võimalik ainult kõnealuse seaduse nimetatud paragrahvi punktide 3 ja 5 alusel seaduses ette nähtud juhtudel. Lisaks sellele ei kohusta seaduse § 7 tema sõnul vastutavat töötlejat, käesoleval juhul politseiametit andmeid töötlema, vaid ainult annab õiguse seda teha.
19 Andmekaitseamet märkis, et Rīgas satiksmel on selle teabe saamiseks kaks võimalust. Rīgas satiksme võib esitada põhjendatud taotluse rahvastikuregistrile või esitada tsiviilkohtumenetluse seaduse §‑de 98–100 alusel kohtule taotluse tõendite saamiseks, paludes kohtul nõuda politseiametilt välja isikuandmed, mida Rīgas satiksme vajab selle isiku vastu kohtusse pöördumiseks.
20 Eelotsusetaotluse esitanud kohtul on kahtlusi seoses võimalustega, mida andmekaitseamet isikuandmete hankimiseks soovitab. Ta täpsustab, et kui esiteks pöörduda rahvastikuregistrisse taotlusega, milles on ära toodud vaid taksokliendi nimi, võib tekkida olukord, kus isikut ei ole võimalik tuvastada ilma isikukoodita, sest sama nime ja eesnimega isikuid võib olla mitu. Teiseks leidis eelotsusetaotluse esitanud kohus, et arvestades tsiviilõigusliku hagi esitamiseks tõendite esitamist reguleerivaid liikmesriigi õigusnorme, peaks hageja teadma vähemalt kostja elukohta.
21 Siinkohal on eelotsusetaotluse esitanud kohus seisukohal, et direktiivi artikli 7 punktis f osutatud „vajalikkuse“ mõiste tõlgendamisel esineb kahtlusi.
22 Neil asjaoludel otsustas Augstākās tiesas Administratīvo lietu departaments (Läti kõrgeima kohtu halduskolleegium) menetluse peatada ja esitada Euroopa Kohtule järgmised eelotsuse küsimused:
„1. Kas direktiivi 95/46 artikli 7 punktis f sisalduvat lauseosa „on vajalik […] andmeid saava kolmanda isiku või kolmandate isikute õigustatud huvide elluviimiseks“ tuleb tõlgendada nii, et politseiamet peab avalikustama Rīgas satiksmele isikuandmed, mida viimane taotleb ning mis on vajalikud tsiviilkohtusse pöördumiseks?
2. Kas vastust sellele küsimusele mõjutab kohtuasja toimikust nähtuv asjaolu, et takso klient, kelle andmeid Rīgas satiksme taotleb, oli õnnetuse toimumise ajal alaealine?“
Eelotsuse küsimuste analüüs
23 Oma küsimustega, mida tuleb analüüsida koos, soovib eelotsusetaotluse esitanud kohus teada, kas direktiivi 95/46 artikli 7 punkti f tuleb tõlgendada nii, et selles on kehtestatud kohustus avalikustada kolmandale isikule isikuandmeid, mis võimaldavad kolmandal isikul esitada tsiviilkohtusse nõude andmekaitsesubjekti tekitatud kahju hüvitamiseks, ja kas asjaolu, et see isik on alaealine, võib mõjutada kõnealuse sätte tõlgendust.
24 Põhikohtuasjas ei ole vaidlust selles, et takso kliendi isikukood ja aadress, mille avalikustamist Rīgas satiksme nõuab, kujutavad endast teavet tuvastatud või tuvastatava füüsilise isiku kohta ja seega „isikuandmeid“ direktiivi 95/46 artikli 2 punkti a tähenduses. Samuti ei ole vaidlust selles, et politseiamet, kellele taotlus esitati, on nende isikuandmete töötlemise ja täpsemalt nende võimaliku avalikustamise eest vastutav isik direktiivi artikli 2 punkti d tähenduses.
25 Direktiivi 95/46 artiklis 5 on sätestatud, et kuivõrd see on lubatud käesoleva direktiivi sätetega, määravad liikmesriigid täpsemalt kindlaks tingimused, mille puhul isikuandmete töötlemine on seaduslik. Direktiivi artiklis 7, milles on sätestatud põhimõtted, mille järgimisel on niisugune töötlemine seaduslik, on ette nähtud, et „[l]iikmesriigid sätestavad, et isikuandmeid võib töödelda ainult“ selles sättes ammendavalt loetletud juhtudel. Artikli 7 punkti f kohaselt võib andmeid töödelda ainult siis, kui töötlemine on vajalik vastutava töötleja või andmeid saava kolmanda isiku või kolmandate isikute õigustatud huvide elluviimiseks, kui selliseid huve ei kaalu üles direktiivi 95/46 artikli 1 lõike 1 kohaselt kaitstavate andmesubjekti põhiõiguste ja -vabadustega seotud huvid.
26 Nii direktiivi 95/46 loogikast kui ka artikli 7 sõnastusest nähtub, et direktiivi 95/46 artikli 7 punkt f ei näe ise ette kohustust, vaid väljendab võimalust töödelda isikuandmeid, näiteks avalikustades vajalikke andmeid kolmandale isikule, kel on olemas õiguspärane huvi. Nagu rõhutas ka kohtujurist oma ettepaneku punktides 43–46, saab niisuguse tõlgenduseni jõuda ka muude, isikuandmete töötlemist käsitlevate liidu õiguse aktide alusel (vt selle kohta elektroonilise side valdkonnas isikuandmete töötlemise puhul kohtuotsus, 29.1.2008, Promusicae, C‑275/06, EU:C:2008:54, punktid 54 ja 55).
27 Siiski tuleb täheldada, et direktiivi 95/46 artikli 7 punktiga f ei ole selline avalikustamine vastuolus juhul, kui seda tehakse riigisisese õiguse alusel ja järgides kõnealuses sättes ette nähtud tingimusi.
28 Sellega seoses näeb direktiivi 95/46 artikli 7 punkt f ette kolm kumulatiivset tingimust, mille täitmisel on isikuandmete töötlemine seaduslik: esiteks siis, kui töötlemine on vajalik vastutava töötleja või andmeid saava kolmanda isiku või kolmandate isikute õigustatud huvide elluviimiseks, teiseks on vajalik, et isikuandmete töötlemine toimuks õigustatud huvide elluviimiseks, ja kolmandaks võib seda teha tingimusel, et selliseid huve ei kaalu üles andmesubjekti kaitstavate põhiõiguste ja -vabadustega seotud huvid.
29 Õigustatud huvide elluviimise tingimuse puhul ei ole kahtlustki selles – nagu on märkinud oma ettepaneku punktides 65, 79 ja 80 ka kohtujurist –, et kolmanda isiku huvi selle vastu, et saada kätte tema vara kahjustanud isiku andmed selleks, et temalt kohtu kaudu kahjutasu välja nõuda, on õigustatud huvi (vt selle kohta kohtuotsus, 29.1.2008, Promusicae, C‑275/06, EU:C:2008:54, punkt 53). Seda seisukohta toetab direktiivi 95/46 artikli 8 lõike 2 punkt e, milles on ette nähtud, et teatavate isikuandmete, näiteks selliste, mis paljastavad rassilise päritolu või poliitilised vaated, töötlemise keeldu ei kohaldata, kui töötlemine on vajalik õigusnõuete koostamiseks, esitamiseks või kaitsmiseks.
30 Andmete töötlemise vajalikkuse tingimuse puhul tuleb meelde tuletada, et isikuandmete kaitse erandite ja piirangute puhul tuleb piirduda rangelt vajalikuga (kohtuotsused, 9.11.2010, Volker ja Markus Schecke ning Eifert, C‑92/09 ja C‑93/09, EU:C:2010:662, punkt 86; 7.11.2013, IPI, C‑473/12, EU:C:2013:715, punkt 39, ning 11.12.2014, Ryneš, C‑212/13, EU:C:2014:2428, punkt 28). Siinkohal tuleb tõdeda, et eelotsusetaotluse esitanud kohtu esitatud andmete kohaselt ei võimalda üksnes kahju tekitaja perenime ja eesnime avalikustamine isikut kohtule hagi esitamiseks piisavalt täpselt kindlaks teha. Niisiis on selleks vajalik ka isiku aadressi ja/või isikukoodi teada saamine.
31 Viimaks tuleb märkida, et asjaomaste vastanduvate õiguste ja huvide kaalumine sõltub põhimõtteliselt asjaomase üksikjuhtumi konkreetsetest asjaoludest (vt selle kohta kohtuotsused, 24.11.2011, Asociación Nacional de Establecimientos Financieros de Crédito, C‑468/10 ja C‑469/10, EU:C:2011:777, punkt 40, ning 19.10.2016, Breyer, C‑582/14, EU:C:2016:779, punkt 62).
32 Samuti on Euroopa Kohus tõdenud, et on võimalik arvestada asjaolu, et nimetatud töötlemisega andmesubjekti põhiõigustele kaasneva riive raskus võib sõltuda sellest, kas asjaomaste andmetega on võimalik tutvuda avalikkusele kättesaadavates allikates (vt selle kohta kohtuotsus, 24.11.2011, Asociación Nacional de Establecimientos Financieros de Crédito, C‑468/10 ja C‑469/10, EU:C:2011:777, punkt 44).
33 Eelotsuse küsimuse teise osa kohta, mis on käesoleva kohtuotsuse punktis 23 ümber sõnastatud, tuleb märkida, et isiku vanus võib olla üks asjaoludest, mida tuleb kõnealuse kaalumise raames arvesse võtta. Siiski on oluline teha kindlaks – nagu on kohtujurist oma ettepaneku punktides 82–84 märkinud ja kui liikmesriigi kohtu teostatavast kontrollist ei tulene teisiti –, et niisugustel tingimustel, nagu on kõne all käesolevas kohtuasjas, ei näi olevat põhjendatud keelduda kannatanule selliste isikuandmete avalikustamisest, mis võimaldavad esitada kahju hüvitamise nõude kahju tekitaja vastu või, vajaduse korral vanemlikku võimu teostavate isikute vastu juhul, kui kahju tekitaja on alaealine.
34 Eeltoodud kaalutluste alusel tuleb asuda seisukohale, et direktiivi 95/46 artikli 7 punkti f tuleb tõlgendada nii, et selles ei ole kehtestatud kohustust avalikustada kolmandale isikule isikuandmeid, mis võimaldavad kolmandal isikul esitada tsiviilkohtusse nõude kahju hüvitamiseks, mille tekitas andmekaitsesubjekt. Direktiivi artikli 7 punktiga f ei ole siiski vastuolus see, kui andmed avalikustatakse riigisisese õiguse alusel.
Kohtukulud
35 Kuna põhikohtuasja poolte jaoks on käesolev menetlus eelotsusetaotluse esitanud kohtus pooleli oleva asja üks staadium, otsustab kohtukulude jaotuse liikmesriigi kohus. Euroopa Kohtule seisukohtade esitamisega seotud kulusid, välja arvatud poolte kohtukulud, ei hüvitata.
Esitatud põhjendustest lähtudes Euroopa Kohus (teine koda) otsustab:
Euroopa Parlamendi ja nõukogu 24. oktoobri 1995. aasta direktiivi 95/46/EÜ üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta artikli 7 punkti f tuleb tõlgendada nii, et selles ei ole kehtestatud kohustust avalikustada kolmandale isikule isikuandmeid, mis võimaldavad kolmandal isikul esitada tsiviilkohtusse nõude kahju hüvitamiseks, mille tekitas andmekaitsesubjekt. Direktiivi artikli 7 punktiga f ei ole siiski vastuolus see, kui andmed avalikustatakse riigisisese õiguse alusel.
Allkirjad