UNIONIN TUOMIOISTUIMEN TUOMIO (toinen jaosto)
20 päivänä joulukuuta 2017 (*)
Ennakkoratkaisupyyntö – Yksilöiden suojelu henkilötietojen käsittelyssä – Direktiivi 95/46/EY – 2 artiklan a alakohta – Henkilötietojen käsite – Ammatilliseen kokeeseen osallistujan laatimat kirjalliset vastaukset – Tarkastajan näitä vastauksia koskevat merkinnät – 12 artiklan a ja b alakohta – Rekisteröidyn tietojen saantia ja tietojen oikaisua koskevien oikeuksien laajuus
Asiassa C-434/16.
jossa on kyse SEUT 267 artiklaan perustuvasta ennakkoratkaisupyynnöstä, jonka Supreme Court (ylin tuomioistuin, Irlanti) on esittänyt 29.7.2016 tekemällään päätöksellä, joka on saapunut unionin tuomioistuimeen 4.8.2016, saadakseen ennakkoratkaisun asiassa
Peter Nowak
vastaan
Data Protection Commissioner,
UNIONIN TUOMIOISTUIN (toinen jaosto),
toimien kokoonpanossa: jaoston puheenjohtaja M. Ilešič (esittelevä tuomari) sekä tuomarit A. Rosas, C. Toader, A. Prechal ja E. Jarašiūnas,
julkisasiamies: J. Kokott,
kirjaaja: hallintovirkamies M. Aleksejev,
ottaen huomioon kirjallisessa käsittelyssä ja 22.6.2017 pidetyssä istunnossa esitetyn,
ottaen huomioon huomautukset, jotka sille ovat esittäneet
– Peter Nowak, edustajinaan G. Rudden, solicitor, ja N. Travers, SC,
– Data Protection Commissioner, edustajinaan D. Young, solicitor, ja P. A. McDermott, SC,
– Irlanti, asiamiehinään E. Creedon, L. Williams ja A. Joyce, avustajanaan A. Caroll, barrister,
– Tšekin hallitus, asiamiehinään M. Smolek ja J. Vláčil,
– Kreikan hallitus, asiamiehinään G. Papadaki ja S. Charitaki,
– Unkarin hallitus, asiamiehinään M.Z. Fehér ja A. Pálfy,
– Itävallan hallitus, asiamiehenään G. Eberhard,
– Puolan hallitus, asiamiehenään B. Majczyna,
– Portugalin hallitus, asiamiehinään L. Inez Fernandes, M. Figueiredo ja I. Oliveira,
– Euroopan komissio, asiamiehinään D. Nardi ja H. Kranenborg,
kuultuaan julkisasiamiehen 20.7.2017 pidetyssä istunnossa esittämän ratkaisuehdotuksen,
on antanut seuraavan
tuomion
1 Ennakkoratkaisupyyntö koskee yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY (EYVL 1995, L 281, s. 31) tulkintaa.
2 Tämä pyyntö on esitetty asiassa, jossa asianosaisina ovat Peter Nowak ja Data Protection Commissioner (tietosuojavaltuutettu, Irlanti) ja jossa on kyse siitä, että viimeksi mainittu epäsi Nowakilta oikeuden tutustua kokeen, johon hän oli osallistunut, korjattuun vastauspaperiin sillä perusteella, että siihen sisältyvät tiedot eivät olleet henkilötietoja.
Asiaa koskevat oikeussäännöt
Unionin oikeus
Direktiivi 95/46
3 Direktiivin 95/46, jonka tavoitteena on sen 1 artiklan mukaan turvata henkilötietojen käsittelyssä yksilöille heidän perusoikeutensa ja -vapautensa ja erityisesti heidän oikeutensa yksityisyyteen sekä poistaa kyseisten tietojen vapaan liikkumisen esteet, johdanto-osan 25, 26 ja 41 perustelukappaleessa todetaan seuraavaa:
(25) tietosuojan periaatteiden on ilmettävä yhtäältä [tietoja käsittelevien] yksilöiden – – niissä velvoitteissa, jotka koskevat erityisesti tietojen laatua, teknistä turvallisuutta, ilmoitusmenettelyä valvontaviranomaiselle ja tietojenkäsittelyn olosuhteita, ja toisaalta rekisteröityjen oikeudessa saada tieto käsittelystä sekä mahdollisuudessa tutustua tietoihin ja pyytää niiden oikaisua, jopa vastustaa käsittelyä tietyissä olosuhteissa,
(26) tietosuojaa koskevia periaatteita on sovellettava kaikkiin tunnistettua tai tunnistettavissa olevaa henkilöä koskeviin tietoihin; sen määrittämiseksi, onko henkilö tunnistettavissa, olisi otettava huomioon kaikki kohtuullisesti toteutettavissa olevat keinot, joita joko rekisterinpitäjä tai joku muu voi kyseisen henkilön tunnistamiseksi käyttää; tietosuojaa koskevia periaatteita ei sovelleta tietoihin, jotka on tehty anonyymeiksi siten, ettei rekisteröity enää ole tunnistettavissa; – –
– –
(41) kenellä tahansa henkilöllä on oltava oikeus tutustua itseään koskeviin käsiteltäviin tietoihin voidakseen varmistua erityisesti tietojen paikkansapitävyydestä ja niiden käsittelyn laillisuudesta; – – ”
4 Direktiivin 2 artiklan a alakohdan mukaan henkilötiedoilla tarkoitetaan ”kaikenlaisia tunnistettua tai tunnistettavissa olevaa luonnollista henkilöä (’rekisteröity’) koskevia tietoja; tunnistettavissa olevana pidetään henkilöä, joka voidaan suoraan tai epäsuorasti tunnistaa, erityisesti henkilönumeron taikka yhden tai useamman hänelle tunnusomaisen fyysisen, fysiologisen, psyykkisen, taloudellisen, kulttuurillisen tai sosiaalisen tekijän perusteella”.
5 Direktiivin II luvussa olevaan I jaksoon, jonka otsikko on ”Tietojen laatua koskevat periaatteet”, sisältyvässä 6 artiklassa säädetään seuraavaa:
”1. Jäsenvaltioiden on säädettävä siitä, että
a) henkilötietoja käsitellään asianmukaisesti ja laillisesti,
b) henkilötiedot on kerättävä perusteltua ja nimenomaisesti määriteltyä tarkoitusta varten, eikä niitä saa käsitellä myöhemmin näiden tarkoitusten kanssa yhteensopimattomalla tavalla. Myöhempää käsittelyä historiantutkimusta taikka tilastollisia tai tieteellisiä tarkoituksia varten ei pidetä yhteensopimattomana, sillä edellytyksellä, että jäsenvaltiot toteuttavat tarpeelliset suojatoimet,
c) henkilötiedot ovat asianmukaisia, olennaisia eivätkä liian laajoja siihen tarkoitukseen, mihin ne on kerätty ja missä niitä myöhemmin käsitellään,
d) henkilötiedot ovat täsmällisiä ja tarvittaessa päivitettyjä; on tehtävä kaikki mahdollinen sen varmistamiseksi, että niihin tarkoituksiin nähden virheelliset tai puutteelliset tiedot, joita varten tiedot kerättiin tai joissa niitä myöhemmin käsitellään, poistetaan tai oikaistaan,
e) henkilötiedot säilytetään muodossa, josta rekisteröity on tunnistettavissa ainoastaan sen ajan, kuin on tarpeen niiden tarkoitusten toteuttamista varten, joita varten tiedot kerättiin tai joissa niitä myöhemmin käsitellään. Jäsenvaltiot toteuttavat niiden henkilötietojen tarpeelliset suojatoimet, joita säilytetään edellä tarkoitettua aikaa kauemmin historiantutkimusta taikka tilastollisia tai tieteellisiä tarkoituksia varten.
2. Rekisterinpitäjän on huolehdittava 1 kohdan noudattamisesta.”
6 Direktiivin 95/46 II jaksoon, jonka otsikko on ”Tietojenkäsittelyn laillisuutta koskevat periaatteet”, sisältyvässä 7 artiklassa säädetään seuraavaa:
”Jäsenvaltioiden on säädettävä siitä, että henkilötietoja voidaan käsitellä ainoastaan,
a) jos rekisteröity on yksiselitteisesti antanut suostumuksensa, tai
– –
c) jos käsittely on tarpeen rekisterinpitäjän laillisen velvoitteen noudattamiseksi, tai
– –
e) jos käsittely on tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai sellaisen julkisen vallan käyttämiseksi, joka kuuluu rekisterinpitäjälle tai sivulliselle, jolle tiedot luovutetaan, tai
f) jos käsittely on tarpeen rekisterinpitäjän tai tiedot saavan sivullisen oikeutetun intressin toteuttamiseksi, paitsi milloin tämän intressin syrjäyttävät rekisteröidyn 1 artiklan 1 kohdan perusteella suojaa tarvitsevat intressit ja perusoikeudet ja -vapaudet.”
7 Direktiivin 12 artiklan otsikko on ”Tiedonsaantioikeus”, ja siinä säädetään seuraavaa:
”Jäsenvaltioiden on taattava rekisteröidylle oikeus saada rekisterinpitäjältä
a) vapaasti, kohtuullisin väliajoin ja ilman aiheetonta viivytystä tai aiheettomia kustannuksia
– vahvistus siitä, käsitelläänkö häntä koskevia tietoja vai ei, sekä vähintään tiedot käsittelyn tarkoituksista, käsiteltävistä tietoryhmistä ja tietojen vastaanottajista tai vastaanottajaryhmistä, joille tiedot luovutetaan,
– käsiteltävät tiedot itselleen ymmärrettävässä muodossa sekä kaikki tietojen alkuperästä käytettävissä olevat tiedot,
– –
b) tapauskohtaisesti, sellaiset tiedot oikaistuiksi, poistetuiksi tai suojatuiksi, joiden käsittely ei ole tämän direktiivin mukaista, erityisesti tietojen puutteellisen tai virheellisen luonteen vuoksi;
c) ilmoitus sivullisille, joille tietoja on luovutettu, kaikenlaisista b kohdan mukaisesti tehdyistä oikaisuista, poistamisista tai suojaamisista, paitsi jos tämä osoittautuu mahdottomaksi tai vaatii kohtuutonta vaivaa.”
8 Direktiivin 13 artiklassa, jonka otsikkona on ”Poikkeukset ja rajoitukset”, säädetään seuraavaa:
”1. Jäsenvaltiot voivat toteuttaa lainsäädännöllisiä toimenpiteitä, joilla pyritään rajoittamaan 6 artiklan 1 kohdassa, 10 artiklassa, 11 artiklan 1 kohdassa sekä 12 ja 21 artiklassa säädettyjen oikeuksien ja velvoitteiden alaa, jos tällaiset rajoitukset ovat välttämättömiä, jotta varmistettaisiin
– –
g) rekisteröidyn suojelu tai muiden oikeudet ja vapaudet.”
– – ”
9 Direktiivin 95/46 14 artiklassa, jonka otsikko on ”Rekisteröidyn oikeus vastustaa henkilötietojensa käsittelyä”, säädetään seuraavaa:
”Jäsenvaltioiden on turvattava rekisteröidylle oikeus
a) ainakin 7 artiklan e ja f alakohdassa tarkoitetuissa tapauksissa millä hetkellä tahansa vastustaa itseään koskevien tietojen käsittelyä tilanteeseensa liittyvien huomattavan tärkeiden ja perusteltujen syiden vuoksi, paitsi milloin kansallisessa lainsäädännössä toisin säädetään. Jos vastustus on perusteltua, rekisterinpitäjä ei enää saa käsitellä kyseisiä tietoja,
– – ”
10 Direktiivin 28 artiklassa, jonka otsikko on ”Valvontaviranomainen” säädetään seuraavaa:
”1. Kunkin jäsenvaltion on säädettävä siitä, että jäsenvaltioiden tämän direktiivin mukaisesti toteuttamien toimenpiteiden soveltamista sen alueella valvoo yksi tai useampi julkinen viranomainen.
– –
3. Kullakin valvontaviranomaisella on erityisesti oltava
– tutkintavaltuudet, kuten valtuudet saada käsiteltäviä tietoja ja kerätä kaikki valvontatehtävänsä suorittamiseksi tarvittavat tiedot,
– tehokkaat toimintavaltuudet, kuten esimerkiksi – – valtuudet määrätä tietojen suojaamisesta, poistamisesta tai tuhoamisesta tai kieltää käsittely väliaikaisesti tai lopullisesti – –
– –
Valvontaviranomaisen päätöksistä, jotka antavat aihetta valituksiin, voi valittaa tuomioistuimeen.
4. Kuka tahansa henkilö tai häntä edustava yhdistys voi esittää valvontaviranomaiselle oikeuksiensa ja vapauksiensa suojelua henkilötietojen käsittelyn osalta koskevan vaateen. Rekisteröidylle ilmoitetaan vaateen seurauksista.
– – ”
Asetus (EU) 2016/679
11 Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annettua Euroopan parlamentin ja neuvoston asetusta (EU) N:o 2016/679 (yleinen tietosuoja-asetus) (EUVL 2016, L 119, s. 1) sovelletaan sen 99 artiklan 2 kohdan mukaan 25.5.2018 lukien. Tämän asetuksen 94 artiklan 1 kohdassa säädetään, että direktiivi 95/46 kumotaan samasta päivästä lukien.
12 Asetuksen 15 artiklassa, jonka otsikko on ”Rekisteröidyn oikeus saada pääsy tietoihin”, säädetään seuraavaa:
”1. Rekisteröidyllä on oikeus saada rekisterinpitäjältä vahvistus siitä, että häntä koskevia henkilötietoja käsitellään tai että niitä ei käsitellä, ja jos näitä henkilötietoja käsitellään, oikeus saada pääsy henkilötietoihin – –
– –
3. Rekisterinpitäjän on toimitettava jäljennös käsiteltävistä henkilötiedoista. – –
4. Oikeus saada 3 kohdassa tarkoitettu jäljennös ei saa vaikuttaa haitallisesti muiden oikeuksiin ja vapauksiin.”
13 Asetuksen N:o 2016/679 23 artiklassa, jonka otsikko on ”Rajoitukset”, säädetään seuraavaa:
”1. Rekisterinpitäjään tai henkilötietojen käsittelijään sovellettavassa unionin oikeudessa tai jäsenvaltion lainsäädännössä voidaan lainsäädäntötoimenpiteellä rajoittaa 12–22 artiklassa – – säädettyjen velvollisuuksien ja oikeuksien soveltamisalaa, jos kyseisessä rajoituksessa noudatetaan keskeisiltä osin perusoikeuksia ja -vapauksia ja se on demokraattisessa yhteiskunnassa välttämätön ja oikeasuhteinen toimenpide, jotta voidaan taata
– –
e) muut unionin tai jäsenvaltion yleiseen julkiseen etuun liittyvät tärkeät tavoitteet, erityisesti unionille tai jäsenvaltiolle tärkeä taloudellinen tai rahoituksellinen etu, mukaan lukien rahaan, talousarvioon ja verotukseen liittyvät asiat sekä kansanterveys ja sosiaaliturva;
– –
i) rekisteröidyn suojelu tai muiden oikeudet ja vapaudet;
– – ”.
Irlannin oikeus
14 Vuoden 1988 tietosuojalailla (Data Protection Act 1988), sellaisena kuin se on muutettuna vuonna 2003 tietosuojalain muuttamisesta annetulla lailla (Data Protection (Amendment) Act 2003) (jäljempänä tietosuojalaki) saatetaan direktiivi 95/46 osaksi Irlannin oikeusjärjestystä. Kyseisen lain 1 §:n 1 momentissa henkilötiedot määritellään seuraavasti:
”Tiedot, jotka koskevat elossa olevaa henkilöä, joka on tunnistettu tai tunnistettavissa joko tiedoista tai tiedoista yhdistettyinä muihin tietoihin, jotka ovat rekisterinpitäjän hallussa tai todennäköisesti tulevat sen haltuun.”
15 Tietosuojalain 4 § koskee oikeutta saada tietoja ja sen 6 momentissa, joka koskee nimenomaisesti pyyntöjä saada tutustua kokeiden tuloksiin, säädetään seuraavaa:
”a) Henkilön tämän pykälän 1 momentin nojalla tekemän pyynnön, joka koskee sellaisen kokeen tuloksia, johon hän on osallistunut, on katsottava tämän pykälän yhteydessä tehdyn
i) kokeen tulosten julkaisemisajankohtana tai
ii) pyynnön esittämisajankohtana
sen mukaan, kumpi niistä on myöhäisempi, – –
b) tässä momentissa kokeella tarkoitetaan kaikkia menettelyjä, joissa henkilön tietoja, älykkyyttä, taitoja tai kykyjä arvioidaan viitaten hänen suoritukseensa missä tahansa tentissä, tehtävässä tai muussa toiminnassa.”
16 Tietosuojalain 6 §:ssä säädetään oikeudesta oikaista ja poistaa henkilötietoja, joiden käsittely ei ole lainmukaista.
17 Tietosuojalain 10 §:n 1 momentin b kohdan i kohdassa edellytetään, että tietosuojavaltuutettu tutkii kantelun, “ellei hän katso, että kantelu on turha tai merkitsee haitantekoa”.
Pääasia ja ennakkoratkaisukysymykset
18 Nowak läpäisi tilintarkastajaharjoittelijana Institute of Chartered Accountants of Irelandin (Irlannin tilintarkastajien instituutti, jäljempänä tilintarkastajien instituutti) järjestämän ensimmäisen tason kirjanpitokokeen ja kolme toisen tason kirjanpitokoetta. Hän kuitenkin epäonnistui strategista rahoittajien laskentatoimea ja johdon laskentatoimea koskevassa kokeessa, jossa osallistujat saivat käyttää kirjallista materiaalia.
19 Epäonnistuttuaan tässä kokeessa neljännen kerran syksyllä 2009 Nowak ensiksi riitautti koetuloksen. Sen jälkeen, kun tämä riitautus oli hylätty maalikuussa 2010, hän esitti toukokuussa 2010 tietosuojalain 4 §:n mukaisen pyynnön saada tutustua kaikkiin henkilötietoihinsa, jotka olivat tilintarkastajien instituutin hallussa.
20 Tilintarkastajien instituutti toimitti Nowakille 1.6.2010 päivätyllä kirjeellä 17 asiakirjaa mutta kieltäytyi luovuttamasta hänelle hänen koepaperiaan sillä perusteella, että siihen ei sisältynyt tietosuojalaissa tarkoitettuja henkilötietoja.
21 Nowak kääntyi tällöin tietosuojavaltuutetun puoleen riitauttaakseen koepaperinsa luovuttamisesta kieltäytymisen perusteltavuuden. Tietosuojavaltuutettu vastasi hänelle kesäkuussa 2010 sähköpostiviestillä, jossa muun muassa todettiin, että “koepapereita ei tarkastella yleensä [tietosuojan yhteydessä] ‐ ‐, sillä tällaisen aineiston ei yleensä voida katsoa muodostavan henkilötietoja”.
22 Nowakin ja silloisen tietosuojavaltuutetun välinen kirjeenvaihto jatkui tämän vastauksen jälkeen ja päättyi siihen, että Nowak teki 1.7.2010 muodollisen kantelun.
23 Tietosuojavaltuutettu ilmoitti 21.7.2010 Nowakille sähköpostitse, ettei hän ollut havainnut asian tarkastelun perusteella, että tietosuojalainsäädäntöä olisi rikottu aineellisesti, ja että hän päätti tämän lain 10 §:n 1 momentin b kohdan i kohdan, joka koskee turhia ja haitantekoa merkitseviä kanteluja, mukaisesti olla tutkimatta kantelua. Kyseisessä sähköpostissa ilmoitettiin lisäksi, että aineisto, jonka osalta Nowak halusi käyttää “oikaisemisoikeutta””ei ole henkilötieto, johon sovellettaisiin tietosuojalain 6 §:ää”.
24 Nowak nosti tästä päätöksestä kanteen Circuit Courtissa (piirituomioistuin, Irlanti). Se jätti kanteen tutkimatta sillä perusteella, että koska tietosuojavaltuutettu ei ollut tutkinut kantelua, olemassa ei ollut kannekelpoista ratkaisua. Kyseinen tuomioistuin katsoi toissijaisesti, että kanne oli perusteeton, koska koepaperi ei muodostanut henkilötietoa.
25 Nowak valitti kyseisen tuomioistuimen ratkaisusta High Courtiin (ylempi piirituomioistuin, Irlanti), joka kuitenkin pysytti kyseisen ratkaisun. Court of Appeal (ylioikeus, Irlanti) puolestaan pysytti High Courtin ratkaisun. Supreme Court (ylin tuomioistuin, Irlanti), joka oli myöntänyt valitusluvan Court of Appealin ratkaisusta, katsoi, että Nowakin tietosuojavaltuutetun päätöksestä nostama kanne oli otettava tutkittavaksi.
26 Koska Supreme Court oli kuitenkin epävarma siitä, voiko koepaperi muodostaa direktiivissä 95/46 tarkoitetun henkilötiedon, se päätti lykätä asian käsittelyä ja esittää unionin tuomioistuimelle seuraavat ennakkoratkaisukysymykset:
”1) Voidaanko osallistujan ammatillisen kokeen yhteydessä antamissa vastauksissa/antamiksi vastauksiksi tallennettuja tietoja pitää direktiivissä 95/46– – tarkoitettuina henkilötietoina?
2) Jos ensimmäiseen kysymykseen vastataan, että kaikkia tai joitakin tällaisia tietoja voidaan pitää direktiivissä tarkoitettuina henkilötietoina, mitkä tekijät ovat merkityksellisiä määriteltäessä sitä, onko tällainen vastauspaperi tietyssä tapauksessa henkilötieto, ja millainen painoarvo tällaisille tekijöille on annettava? ”
Ennakkoratkaisukysymysten tarkastelu
27 Ennakkoratkaisua pyytänyt tuomioistuin haluaa kysymyksillään, joita on syytä tarkastella yhdessä, selvittää ennen kaikkea, onko direktiivin 95/46 2 artiklan a alakohtaa tulkittava siten, että pääasiassa kyseessä olevien kaltaisissa olosuhteissa ammatilliseen kokeeseen osallistujan laatimat kirjalliset vastaukset ja mahdolliset tarkastajan niihin tekemät merkinnät ovat kyseisessä säännöksessä tarkoitettuja henkilötietoja.
28 Tältä osin on palautettava mieleen, että direktiivin 95/46 2 artiklan a alakohtaan sisältyvän määritelmän mukaan henkilötiedoilla tarkoitetaan ”kaikenlaisia tunnistettua tai tunnistettavissa olevaa luonnollista henkilöä – – koskevia tietoja”. Saman säännöksen mukaan ”tunnistettavissa olevana pidetään henkilöä, joka voidaan suoraan tai epäsuorasti tunnistaa, erityisesti henkilönumeron taikka yhden tai useamman hänelle tunnusomaisen fyysisen, fysiologisen, psyykkisen, taloudellisen, kulttuurillisen tai sosiaalisen tekijän perusteella”.
29 On riidatonta, että ammatilliseen kokeeseen osallistuja on luonnollinen henkilö, joka voidaan tunnistaa joko suoraan hänen nimensä perusteella tai epäsuorasti henkilönumeron perusteella, koska nämä on merkitty koepaperiin tai tämän paperin kansilehdelle.
30 Toisin kuin tietosuojavaltuutettu näyttää väittävän, tässä yhteydessä merkitystä ei ole sillä, voiko tarkastaja tunnistaa kokeeseen osallistujan korjatessaan ja arvostellessaan koepaperin.
31 Jotta tietoa voitaisiin pitää direktiivin 95/46 2 artiklan a alakohdassa tarkoitettuna henkilötietona, ei edellytetä, että kaikki tiedot, joiden perusteella rekisteröity voidaan tunnistaa, ovat yhden ainoan tahon hallussa (tuomio 19.10.2016, Breyer, C-582/14, EU:C:2016:779, 43 kohta). On lisäksi riidatonta, että tilanteessa, jossa kokeeseen osallistujan henkilöllisyys ei ole tarkastajan tiedossa hänen arvostellessaan tämän kokeessa laatimia vastauksia, kokeen järjestävällä taholla – tässä tapauksessa tilintarkastajien instituutilla – sen sijaan on käytössään tarpeelliset tiedot, jotta kokeeseen osallistuja voidaan tunnistaa vaikeuksitta tai ilman epäilyksiä henkilönumeron perusteella, joka on merkitty koepaperiin tai tämän paperin kansilehdelle, ja näin yhdistää vastaukset häneen.
32 On kuitenkin tutkittava, ovatko osallistujan ammatillisessa kokeessa laatimat kirjalliset vastaukset ja mahdolliset niihin liittyvät tarkastajan tekemät merkinnät tätä osallistujaa koskevia tietoja direktiivin 95/46 2 artiklan a alakohdassa tarkoitetuin tavoin.
33 Kuten unionin tuomioistuin on jo todennut, direktiivin 95/46 soveltamisala on erittäin laaja ja siinä tarkoitetut henkilötiedot ovat erilaisia (tuomio 7.5.2009, Rijkeboer, C-553/07, EU:C:2009:293, 59 kohta oikeuskäytäntöviittauksineen).
34 Ilmaisun ”kaikenlaiset tiedot” käyttäminen direktiivin 95/46 2 artiklan a alakohtaan sisältyvän henkilötietojen määritelmän yhteydessä heijastaa unionin lainsäätäjän pyrkimystä antaa laaja merkitys tälle käsitteelle, jota ei ole rajattu arkaluonteisiin tai yksityisiin tietoihin, vaan joka voi kattaa kaikenlaiset tiedot, sekä objektiiviset että subjektiiviset tiedot, jotka ilmaistaan mielipiteen tai arvion muodossa, edellyttäen, että ne ”koskevat” kyseessä olevaa henkilöä.
35 Viimeksi mainittu edellytys täyttyy, kun tieto liittyy tiettyyn henkilöön sisältönsä, tarkoituksensa tai vaikutuksensa vuoksi.
36 Kuten Nowak, Tšekin, Kreikan, Unkarin, Itävallan ja Portugalin hallitukset sekä Euroopan komissio ovat ennen kaikkea väittäneet, ammatilliseen kokeeseen osallistujan laatimat kirjalliset vastaukset ovat hänen henkilöönsä liittyviä tietoja.
37 Ensiksikin näiden vastausten sisältö ilmentää osallistujan tietojen ja taitojen tasoa tietyllä alalla ja tarvittaessa hänen päättelyprosessiaan, harkintakykyään ja kriittistä ajatteluaan. Jos koevastaus on kirjoitettu käsin, vastauksiin sisältyy lisäksi käsialaan liittyviä tietoja.
38 Mainittujen vastausten keräämisen tarkoituksena on arvioida kokeeseen osallistujan ammattitaitoa ja hänen soveltuvuuttaan kyseessä olevan ammatin harjoittamiseen.
39 Näiden tietojen käyttö, joka ilmenee muun muassa siinä, läpäiseekö osallistuja asianomaisen kokeen vai ei, voi vaikuttaa osallistujan oikeuksiin ja etuihin, koska se voi määrittää esimerkiksi hänen mahdollisuutensa päästä haluamaansa ammattiin tai työhön tai vaikuttaa näihin mahdollisuuksiin.
40 Toteamus, jonka mukaan ammatilliseen kokeeseen osallistujan laatimat kirjalliset vastaukset ovat tätä osallistujaa koskevia tietoja sisältönsä, tarkoituksensa ja vaikutuksensa vuoksi, pätee lisäksi myös silloin, kun kyse on – kuten käsiteltävässä asiassa – kokeesta, jossa on mahdollista käyttää kirjallista materiaalia.
41 Kuten julkisasiamies totesi ratkaisuehdotuksensa 24 kohdassa, jokaisella kokeella pyritään selvittämään tietyn henkilön eli kokeeseen osallistujan yksilöllistä suorituskykyä, eikä – toisin kuin esimerkiksi edustavassa kyselyssä – saamaan tietoa, joka on tästä henkilöstä riippumatonta.
42 Osallistujan vastauksiin liittyvistä tarkastajan tekemistä merkinnöistä on todettava, että ne ovat osallistujan kokeessa laatimien vastausten tavoin tätä osallistujaa koskevia tietoja.
43 Näiden merkintöjen sisältö ilmentää korjaajan näkemystä tai arviota osallistujan yksilöllisestä suorituksesta ja erityisesti tämän tiedoista ja taidoista asianomaisella alalla. Näiden merkintöjen tarkoituksena on lisäksi nimenomaan antaa tietoja siitä, miten kokeen korjaaja on arvioinut osallistujan suoritusta, ja niillä voi olla vaikutuksia osallistujaan, kuten edellä 39 kohdassa on todettu.
44 Toteamusta, jonka mukaan tarkastajan tekemät osallistujan laatimia vastauksia koskevat merkinnät ovat tietoja, jotka sisältönsä, tarkoituksensa ja vaikutuksensa vuoksi liittyvät kyseiseen osallistujaan, ei horjuta se, että nämä merkinnät muodostavat myös tarkastajaa koskevia tietoja.
45 Samat tiedot voivat näet koskea useita luonnollisia henkilöitä ja olla heidän kannaltaan direktiivin 95/46 2 artiklan a alakohdassa tarkoitettuja henkilötietoja edellyttäen, että kyseiset henkilöt ovat tunnistettuja tai tunnistettavissa.
46 Siihen, että ammatilliseen kokeeseen osallistujan laatimat kirjalliset vastaukset ja mahdolliset näihin vastauksiin liittyvät tarkastajan merkinnät luokitellaan henkilötiedoiksi, ei voi vaikuttaa – toisin kuin tietosuojavaltuutettu ja Irlannin hallitus väittävät – se, että tämä luokittelu avaa lähtökohtaisesti tälle kokeeseen osallistujalle tiedonsaantia ja oikaisua koskevan oikeuden direktiivin 95/46 12 artiklan a ja b alakohdan nojalla.
47 Tältä osin on ensiksi muistettava, että kuten komissio totesi istunnossa, useat periaatteet ja takeet, joista säädetään direktiivissä 95/46, liittyvät tähän luokitteluun ja riippuvat siitä.
48 Direktiivin 95/46 johdanto-osan 25 perustelukappaleen mukaan kyseisessä direktiivissä vahvistettujen tietosuojan periaatteiden on ilmettävä yhtäältä tietoja käsittelevien henkilöiden niissä velvoitteissa, jotka koskevat erityisesti tietojen laatua, teknistä turvallisuutta, ilmoitusmenettelyä valvontaviranomaiselle ja tietojenkäsittelyn olosuhteita, ja toisaalta niiden henkilöiden, joiden tietoja käsitellään, oikeudessa saada tieto käsittelystä sekä mahdollisuudessa tutustua tietoihin ja pyytää niiden oikaisua ja jopa vastustaa käsittelyä tietyissä olosuhteissa.
49 Niinpä siitä, ettei hyväksyttäisi ammatilliseen kokeeseen osallistujan laatimien kirjallisten vastausten ja mahdollisten tarkastajan siihen liittyvien merkintöjen luokittelua ”henkilötiedoiksi”, seuraisi, että nämä tiedot suljettaisiin kokonaan pois niiden periaatteiden ja takeiden piiristä, joita henkilötietojen suojan alalla on noudatettava, ja erityisesti tällaisten tietojen laatua ja tietojenkäsittelyn laillisuutta koskevien periaatteiden, jotka vahvistetaan direktiivin 95/46 6 ja 7 artiklassa, rekisteröidyn tiedonsaantia, oikaisua ja vastustusta koskevien oikeuksien, joista säädetään direktiivin 12 ja 14 artiklassa, sekä valvontaviranomaisen direktiivin 28 artiklan nojalla harjoittaman valvonnan piiristä.
50 Kuten julkisasiamies totesi ratkaisuehdotuksensa 26 kohdassa, on riidatonta, että kokeeseen osallistujalla on yksityisyytensä suojaan perustuva oikeutettu intressi voida vastustaa kokeessa laatimiensa vastausten käsittelyä muualla kuin koemenettelyssä, ja erityisesti sitä, että hänen vastauksensa esitettäisiin kolmansille tai jopa julkaistaisiin ilman hänen lupaansa. Samoin kokeen järjestävän tahon on tietojen käsittelystä vastuussa olevana varmistettava, että nämä vastaukset ja merkinnät säilytetään siten, ettei kolmansilla ole niihin luvatonta pääsyä.
51 Tämän jälkeen on todettava, että direktiivin 95/46 12 artiklan a ja b alakohdassa säädetyt tiedonsaantia ja oikaisua koskevat oikeudet voivat myös olla perusteltuja ammatilliseen kokeeseen osallistujan laatimiin kirjallisiin vastauksiin ja mahdollisiin niihin liittyviin tarkastajan merkintöihin nähden.
52 Direktiivin 95/46 12 artiklan b alakohdassa säädetty oikeus tietojen oikaisuun ei tietenkään saa mahdollistaa sitä, että kokeeseen osallistuja ”korjaa” jälkikäteen ”vääriä” vastauksia.
53 Direktiivin 95/46 6 artiklan 1 kohdan d alakohdasta seuraa, että henkilötietojen paikkansapitävyyttä ja täydellisyyttä on arvioitava niihin tarkoituksiin nähden, joita varten nämä tiedot kerättiin. Tämä tarkoitus on kokeeseen osallistujan vastausten osalta se, että voidaan selvittää koehetkellä kokeeseen osallistujan tietojen ja taitojen taso. Tätä tasoa ilmentävät nimenomaan mahdolliset virheet näissä vastauksissa. Tällaiset virheet eivät kuitenkaan millään tavoin muodosta direktiivissä 95/46 tarkoitettua virheellisyyttä, joka synnyttää tietojen oikaisua koskevan oikeuden direktiivin 12 artiklan b alakohdan nojalla.
54 On sen sijaan mahdollista, että esiintyy tilanteita, joissa kokeeseen osallistujan vastaukset ja tarkastajan näitä vastauksia koskevat merkinnät osoittautuvat virheellisiksi direktiivin 95/46 6 artiklan 1 kohdan d alakohdassa tarkoitetuin tavoin esimerkiksi siitä syystä, että koepaperit ovat erehdyksessä vaihtuneet siten, että jonkin toisen osallistujan vastaukset on yhdistetty asianomaiseen osallistujaan; siitä syystä, että osallistujan vastauspapereista osa on kadonnut siten, että kyseiset vastaukset eivät ole täydellisiä, tai vielä siitä syystä, että tarkastajan mahdolliset merkinnät eivät anna oikeata tietoa hänen asianomaisen osallistujan vastauksiin kohdistamastaan arvioinnista.
55 Kuten julkisasiamies totesi ratkaisuehdotuksensa 37 kohdassa, ei voida sulkea pois, että kokeeseen osallistujalla on direktiivin 12 artiklan b alakohdan nojalla oikeus vaatia tietojen käsittelystä vastuussa olevalta, että hänen koevastauksensa ja niihin liittyvät tarkastajan merkinnät tietyn ajan kuluttua poistetaan, toisin sanoen tuhotaan. Direktiivin 6 artiklan 1 kohdan e alakohdan mukaan henkilötiedot voidaan lähtökohtaisesti säilyttää muodossa, josta tietojen kohteet ovat tunnistettavissa, ainoastaan niin kauan kuin on tarpeen siihen tarkoitukseen, jota varten tiedot on kerätty tai jota varten niitä myöhemmin käsitellään. Kun otetaan huomioon kokeeseen osallistujan laatimien vastausten ja tarkastajan näitä vastauksia koskevien merkintöjen tarkoitus, niiden säilyttäminen muodossa, josta osallistuja on tunnistettavissa, ei ensi näkemältä vaikuta tarpeelliselta sen jälkeen kun koemenettely on lopullisesti päättynyt ja sitä ei enää voida riitauttaa niin, että kyseisillä vastauksilla ja merkinnöillä ei enää ole todistusvoimaa.
56 Siltä osin kuin osallistujan ammatillisessa kokeessa laatimat kirjalliset vastaukset ja mahdolliset niihin liittyviin tarkastajan merkinnät voidaan tarkistaa muun muassa niiden paikkansapitävyyden ja säilyttämisen tarpeen osalta direktiivin 95/46 6 artiklan 1 kohdan d ja e alakohdan nojalla, ja niitä voidaan oikaista tai ne voidaan poistaa direktiivin 12 artiklan b alakohdan nojalla, on katsottava, että se, että kokeeseen osallistujalle annetaan oikeus tutustua näihin vastauksiin ja näihin merkintöihin direktiivin 12 artiklan a alakohdan nojalla, palvelee direktiivin tavoitetta, joka on osallistujan yksityisyyden suojelu häntä koskevien tietojen käsittelyssä (ks. a contrario tuomio 7.7.2014, YS ym., C-141/12 ja C-372/12, EU:C:2014:2081, 45 ja 46 kohta), ja näin on riippumatta siitä, onko kokeeseen osallistujalla tällainen tiedonsaantioikeus myös koemenettelyyn sovellettavan kansallisen säännöstön nojalla.
57 Tässä yhteydessä on muistettava, että yksityisyyden kunnioittamisen perusoikeus merkitsee muun muassa, että jokainen luonnollinen henkilö voi varmistua henkilötietojensa paikkansapitävyydestä ja niiden käsittelyn laillisuudesta. Kuten direktiivin 95/46 johdanto-osan 41 perustelukappaleessa on todettu, rekisteröidyllä on direktiivin 12 artiklan a alakohdan mukaan oikeus tutustua itseään koskeviin käsiteltäviin tietoihin voidakseen suorittaa tarpeelliset tarkastukset. Tämä tiedonsaantioikeus on tarpeen erityisesti, jotta rekisteröity voi saada rekisterinpitäjän oikaisemaan, poistamaan tai suojaamaan nämä tiedot ja näin ollen käyttää direktiivin 12 artiklan b alakohdassa tarkoitettuja oikeuksiaan (tuomio 17.7.2014, YS ym., C-141/12 ja C-372/12, EU:C:2014:2081, 44 kohta).
58 On lopuksi todettava yhtäältä, että direktiivin 95/46 12 artiklan a ja b alakohdan mukainen tietojen saantia ja oikaisua koskeva oikeus ei ulotu koekysymyksiin, jotka sellaisinaan eivät ole kokeeseen osallistujan henkilötietoja.
59 Toisaalta sekä direktiivissä 95/46 että sen korvanneessa asetuksessa 2016/679 säädetään eräistä rajoituksista näihin oikeuksiin.
60 Direktiivin 95/46 13 artiklan 1 kohdan g alakohdan mukaan jäsenvaltiot voivat toteuttaa lainsäädännöllisiä toimenpiteitä, joilla pyritään rajoittamaan muun muassa direktiivin 6 artiklan 1 kohdassa ja 12 artiklassa säädettyjen oikeuksien ja velvoitteiden alaa, jos tällaiset rajoitukset ovat välttämättömiä, jotta varmistettaisiin muiden oikeudet ja vapaudet.
61 Asetuksen N:o 2016/679 23 artiklan 1 kohdan e alakohdassa laajennetaan direktiivin 95/46 13 artiklan 1 kohdassa olevaa rajoitusten perusteiden luetteloa koskemaan ”mu[ita] unionin tai jäsenvaltion yleiseen julkiseen etuun liittyv[iä] tärke[itä] tavoitte[ita].” Lisäksi asetuksen N:o 2016/679 15 artiklan, joka koskee rekisteröidyn oikeutta saada tietoja, 4 kohdassa säädetään, että oikeus saada jäljennös henkilötiedoista ei saa vaikuttaa haitallisesti muiden oikeuksiin ja vapauksiin.
62 Kaiken edellä esitetyn perusteella esitettyihin kysymyksiin on vastattava, että direktiivin 95/46 2 artiklan a alakohtaa on tulkittava siten, että pääasiassa kyseessä olevien kaltaisissa olosuhteissa ammatilliseen kokeeseen osallistujan laatimat kirjalliset vastaukset ja mahdolliset tarkastajan tekemät niitä koskevat merkinnät ovat kyseisessä säännöksessä tarkoitettuja henkilötietoja.
Oikeudenkäyntikulut
63 Pääasian asianosaisten osalta asian käsittely unionin tuomioistuimessa on välivaihe kansallisessa tuomioistuimessa vireillä olevan asian käsittelyssä, minkä vuoksi kansallisen tuomioistuimen asiana on päättää oikeudenkäyntikulujen korvaamisesta. Oikeudenkäyntikuluja, jotka ovat aiheutuneet muille kuin näille asianosaisille huomautusten esittämisestä unionin tuomioistuimelle, ei voida määrätä korvattaviksi.
Näillä perusteilla unionin tuomioistuin (toinen jaosto) on ratkaissut asian seuraavasti:
Yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY 2 artiklan a alakohtaa on tulkittava siten, että pääasiassa kyseessä olevien kaltaisissa olosuhteissa ammatilliseen kokeeseen osallistujan laatimat kirjalliset vastaukset ja mahdolliset tarkastajan tekemät niitä koskevat merkinnät ovat kyseisessä säännöksessä tarkoitettuja henkilötietoja.
Allekirjoitukset