Asia C-487/21
F. F.
vastaan
Österreichische Datenschutzbehörde ja CRIF GmbH
(Ennakkoratkaisupyyntö, jonka Bundesverwaltungsgericht (Itävalta) on esittänyt)
Unionin tuomioistuimen tuomio (ensimmäinen jaosto) 4.5.2023
Ennakkoratkaisupyyntö – Henkilötietojen suoja – Asetus (EU) 2016/679 – Rekisteröidyn oikeus saada pääsy käsiteltäviin henkilötietoihinsa – 15 artiklan 3 kohta – Jäljennöksen toimittaminen tiedoista – Jäljennöksen käsite – Tietojen käsite
1. Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus 2016/679 – Rekisteröidyn oikeus saada pääsy käsiteltäviin tietoihinsa – Jäljennöksen toimittaminen tiedoista – Jäljennöksen käsite – Näiden tietojen alkuperäistä vastaavan ja ymmärrettävän toisinnon toimittaminen rekisteröidylle – Asiakirjojen otteiden tai kokonaisten asiakirjojen taikka tietokantojen otteiden jäljennös, joka sisältää muun muassa mainitut tiedot, kuuluminen käsitteen soveltamisalaan – Edellytys
(Euroopan parlamentin ja neuvoston asetuksen 2016/679 johdanto-osan 58 ja 60 perustelukappale, 12 artiklan 1 kohta ja 15 artiklan 1 kohta ja 3 kohdan ensimmäinen virke)
(ks. 21, 28, 32 ja 36 –45 kohta sekä tuomiolauselman 1 kohta)
2. Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus 2016/679 – Rekisteröidyn oikeus saada pääsy käsiteltäviin tietoihinsa – Jäljennöksen toimittaminen tiedoista – Tietojen käsite – Henkilötiedot, joista rekisterinpitäjän on toimitettava jäljennös, kuuluminen tietojen käsitteen soveltamisalaan
(Euroopan parlamentin ja neuvoston direktiivin 2016/679 15 artiklan 3 kohdan kolmas virke)
(ks. 48–53 kohta ja tuomiolauselman 2 kohta)
Tiivistelmä
Yleinen tietosuoja-asetus: oikeus saada ”jäljennös” henkilötiedoista merkitsee sitä, että rekisteröidylle toimitetaan kaikkien näiden tietojen alkuperäistä vastaava ja ymmärrettävä toisinto
Tämä oikeus merkitsee oikeutta saada jäljennös asiakirjojen otteista tai kokonaisista asiakirjoista taikka kyseiset tiedot sisältävien tietokantojen otteista, jos tämä on välttämätöntä, jotta rekisteröity voi käyttää tehokkaasti hänelle tällä asetuksella annettuja oikeuksia
CRIF GmbH on luottotietoyritys, joka toimittaa asiakkaidensa pyynnöstä tietoja kolmansien osapuolten maksukyvystä. Tässä tarkoituksessa se käsitteli pääasian kantajan, joka on henkilöasiakas, henkilötietoja. Viimeksi mainittu pyysi CRIF:ltä yleisen tietosuoja-asetuksen(1) nojalla saada pääsyn häntä koskeviin henkilötietoihinsa. Lisäksi hän pyysi toimittamaan jäljennöksen asiakirjoista eli sähköpostiviesteistä ja tietokantojen otteista, jotka sisälsivät muun muassa hänen tietonsa, ”yleisesti käytetyssä teknisessä muodossa”.
Vastauksena tähän pyyntöön CRIF toimitti pääasian kantajalle koosteena luettelon hänen käsiteltävistä henkilötiedoistaan. Koska pääasian kantaja katsoi, että CRIF:n olisi pitänyt toimittaa hänelle jäljennös kaikista hänen tietojaan sisältävistä asiakirjoista, kuten sähköpostiviesteistä ja tietokantojen otteista, hän teki valituksen Österreichische Datenschutzbehördelle (Itävallan tietosuojaviranomainen). Edellä mainittu viranomainen hylkäsi valituksen, sillä se katsoi, ettei CRIF ollut loukannut millään tavoin pääasian kantajan oikeutta saada pääsyä henkilötietoihinsa.
Bundesverwaltungsgericht (liittovaltion hallintotuomioistuin, Itävalta), jossa pääasian kantaja nosti kanteen kyseisen viranomaisen tekemästä hylkäävästä päätöksestä, pohtii yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan ensimmäisessä virkkeessä säädetyn velvollisuuden toimittaa rekisteröidylle ”jäljennös” hänen käsiteltävistä henkilötiedoistaan, ulottuvuutta. Kyseinen tuomioistuin pohtii erityisesti, onko tämä velvollisuus täytetty silloin, kun rekisterinpitäjä toimittaa henkilötiedot koosteen muodossa vai edellyttääkö se myös asiakirjojen otteiden taikka kokonaisten asiakirjojen sekä sellaisten tietokantojen otteiden, joissa nämä tiedot on toisinnettu, toimittamista. Ennakkoratkaisua pyytänyt tuomioistuin pyytää lisäksi täsmennyksiä siitä, mitä yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan kolmannessa virkkeessä oleva tietojen käsite tarkalleen kattaa(2).
Unionin tuomioistuin täsmentää tuomiossaan rekisteröidyn oikeuden saada pääsyn käsiteltäviin henkilötietoihinsa ja sen laajuuden. Se katsoo tältä osin, että oikeus saada rekisterinpitäjältä ”jäljennös” henkilötiedoista, joita käsitellään yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan ensimmäisen virkkeen nojalla, edellyttää sitä, että rekisteröidylle annetaan alkuperäistä vastaava ja ymmärrettävä toisinto kaikista näistä tiedoista. Tämä oikeus edellyttää oikeutta saada jäljennös asiakirjojen otteista tai kokonaisista asiakirjoista taikka tietokantojen otteista, jotka sisältävät muun muassa mainitut tiedot, jos tällaisen jäljennöksen toimittaminen on välttämätöntä, jotta rekisteröity voi käyttää tehokkaasti hänelle yleisessä tietosuoja-asetuksessa annettuja oikeuksia, jolloin korostetaan, että tältä osin on otettava huomioon muiden oikeudet ja vapaudet. Unionin tuomioistuin täsmentää lisäksi, että yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan kolmannessa virkkeessä tarkoitettu tietojen käsite liittyy yksinomaan henkilötietoihin, joista rekisterinpitäjän on toimitettava jäljennös kyseisen kohdan ensimmäisen virkkeen mukaisesti.
Unionin tuomioistuimen arviointi asiasta
Unionin tuomioistuin tulkitsee aluksi sanamuodon mukaisesti, systemaattisesti ja teleologisesti yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan ensimmäistä virkettä, jossa säädetään rekisteröidyn oikeudesta saada jäljennös hänen käsiteltävistä henkilötiedoistaan.
Unionin tuomioistuin toteaa yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan ensimmäisen virkkeen sanamuodosta, että vaikka kyseisessä säännöksessä ei määritellä näin käytettyä jäljennöksen käsitettä, on otettava huomioon kyseisen ilmaisun tavanomainen merkitys, jolla tarkoitetaan alkuperäiskappaleen alkuperäistä vastaavaa toisintoa tai transkriptiota, joten käsiteltävien tietojen puhtaasti yleinen kuvaus tai viittaus henkilötietojen ryhmiin ei vastaa tätä määritelmää. Lisäksi kyseisen säännöksen sanamuodosta ilmenee, että tiedoksiantovelvollisuus liittyy kyseessä olevan käsittelyn kohteena oleviin henkilötietoihin. Analysoituaan mainitun säännöksen sanamuotoa unionin tuomioistuin katsoo, että sillä annetaan rekisteröidylle oikeus saada alkuperäistä vastaava toisinto henkilötiedoistaan laajassa merkityksessään, jos niihin kohdistetaan toimintoja, jotka on luokiteltava tällaisen rekisterinpitäjän suorittamaksi käsittelyksi.
Unionin tuomioistuin toteaa yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan ensimmäisen virkkeen asiayhteydestä, että yleisen tietosuoja-asetuksen 15 artiklan 1 kohdassa määritellään kohde ja soveltamisala rekisteröidyn oikeudelle saada pääsy tietoihinsa. Yleisen tietosuoja-asetuksen 15 artiklan 3 kohdassa täsmennetään rekisterinpitäjän velvoitteen täytäntöönpanoa koskevat käytännön yksityiskohdat ja sen ensimmäisessä virkkeessä täsmennetään erityisesti, missä muodossa rekisterinpitäjän on toimitettava ”käsiteltävät henkilötiedot” eli ”jäljennöksenä”. Yleisen tietosuoja-asetuksen 15 artiklaa ei siten voida tulkita siten, että sen 3 kohdan ensimmäisessä virkkeessä tunnustettaisiin sen 1 kohdassa säädetystä oikeudesta erillinen oikeus. Unionin tuomioistuin täsmentää lisäksi, että ilmaisu ”jäljennös” ei liity asiakirjaan sellaisenaan, vaan sen sisältämiin henkilötietoihin, joiden on oltava täydelliset. Jäljennöksen on näin ollen sisällettävä kaikki käsiteltävät henkilötiedot.
Unionin tuomioistuin toteaa yleisen tietosuoja-asetuksen 15 artiklan tavoitteista, että kyseisessä artiklassa säädetyllä oikeudella saada pääsy tietoihin on siis taattava se, että rekisteröity voi varmistua paitsi henkilötietojensa paikkansapitävyydestä myös siitä, että niitä käsitellään laillisesti.
Unionin tuomioistuimen mukaan yleisestä tietosuoja-asetuksesta(3) ilmenee lisäksi, että rekisterinpitäjän on toteutettava asianmukaiset toimenpiteet toimittaakseen rekisteröidylle kaikki käsittelyä koskevat tiedot tiiviisti esitetyssä, läpinäkyvässä, helposti ymmärrettävässä ja saatavilla olevassa muodossa selkeällä ja yksinkertaisella kielellä ja että tiedot on toimitettava kirjallisesti tai muulla tavoin ja tapauksen mukaan sähköisessä muodossa, ellei rekisteröity pyydä niiden antamista suullisesti. Tästä seuraa, että käsittelyn kohteena olevien henkilötietojen jäljennöksellä, joka rekisterinpitäjän on toimitettava, on oltava kaikki ominaisuudet, joiden perusteella rekisteröity voi käyttää tehokkaasti yleisen tietosuoja-asetuksen mukaisia oikeuksiaan, ja siinä on näin ollen toistettava nämä tiedot kokonaisuudessaan ja tarkasti.
Siten sen takaamiseksi, että näin toimitetut tiedot ovat helposti ymmärrettävissä, asiakirjojen tai kokonaisten asiakirjojen taikka tietokantojen otteiden, jotka sisältävät muun muassa käsiteltäviä henkilötietoja, toisintaminen voi osoittautua välttämättömäksi. Erityisesti silloin, kun henkilötietoja tuotetaan muiden tietojen perusteella tai kun tällaiset tiedot ovat peräisin vapaista kentistä eli siitä, ettei tietoja paljasteta rekisteröidystä, asiayhteys, jossa näitä tietoja käsitellään, on välttämätön tekijä, jotta rekisteröity voi saada kyseiset tiedot avoimesti ja ymmärrettävästi esitettyinä.
Jos yhtäältä henkilötietoihin tutustumista koskevan täyden ja kattavan oikeuden käyttäminen ja toisaalta muiden oikeudet ja vapaudet ovat ristiriidassa keskenään, unionin tuomioistuin katsoo, että kyseisiä oikeuksia on punnittava keskenään. Jos mahdollista, on valittava sellaiset henkilötietojen toimittamistavat, joilla ei loukata muiden oikeuksia tai vapauksia, samalla kun otetaan huomioon, että tällaiset seikat eivät saa kuitenkaan johtaa siihen, että rekisteröidylle ei anneta minkäänlaista tietoa.
Toiseksi unionin tuomioistuin tarkastelee kysymystä siitä, mitä yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan kolmannessa virkkeessä tarkoitettu tietojen käsite kattaa. Vaikka tässä säännöksessä ei täsmennetäkään, mitä tiedoilla tarkoitetaan, sen asiayhteydestä seuraa, että siinä tarkoitetut tiedot vastaavat välttämättä henkilötietoja, joista rekisterinpitäjän on toimitettava jäljennös kyseisen kohdan ensimmäisen virkkeen mukaisesti.