UNIONIN TUOMIOISTUIMEN TUOMIO (kolmas jaosto)
11 päivänä joulukuuta 2019 (*)
[13.2.2020 annetulla määräyksellä oikaistu teksti]
Ennakkoratkaisupyyntö – Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Euroopan unionin perusoikeuskirja – 7 ja 8 artikla – Direktiivi 95/46/EY – 6 artiklan 1 kohdan c alakohta ja 7 artiklan f alakohta – Henkilötietojen käsittelyn laillisuus – Kansallinen lainsäädäntö, jossa sallitaan videovalvonta henkilöiden, omaisuuden ja varojen turvaamiseksi ja suojaamiseksi ja oikeutettujen intressien toteuttamiseksi ilman rekisteröidyn suostumusta – Videovalvontajärjestelmän käyttöönotto asuinkäytössä olevan kiinteistön yhteisissä tiloissa
Asiassa C-708/18,
jossa on kyse SEUT 267 artiklaan perustuvasta ennakkoratkaisupyynnöstä, jonka Tribunalul Bucureşti (Bukarestin alioikeus, Romania) on esittänyt 2.10.2018 tekemällään päätöksellä, joka on saapunut unionin tuomioistuimeen 6.11.2018, saadakseen ennakkoratkaisun asiassa
TK
vastaan
Asociaţia de Proprietari bloc M5A-ScaraA,
UNIONIN TUOMIOISTUIN (kolmas jaosto),
toimien kokoonpanossa: jaoston puheenjohtaja A. Prechal (esittelevä tuomari) sekä tuomarit L. S. Rossi, J. Malenovský, F. Biltgen ja N. Wahl,
julkisasiamies: G. Pitruzzella,
kirjaaja: A. Calot Escobar,
ottaen huomioon kirjallisessa käsittelyssä esitetyn,
ottaen huomioon huomautukset, jotka sille ovat esittäneet
– Romanian hallitus, asiamiehinään C.-R. Canţăr, O.-C. Ichim ja A. Wellman,
– Tšekin hallitus, asiamiehinään M. Smolek, J. Vláčil ja O. Serdula,
– Tanskan hallitus, asiamiehinään J. Nymann-Lindegren, M. Wolff ja P. Z. L. Ngo,
– [oikaistu 13.2.2020 annetulla määräyksellä] Irlanti, asiamiehinään M. Browne, G. Hodge ja A. Joyce, avustajanaan D. Fennelly, BL,
– Itävallan hallitus, asiamiehinään aluksi G. Hesse ja J. Schmoll, sittemmin J. Schmoll,
– Portugalin hallitus, asiamiehinään L. Inez Fernandes, P. Barros da Costa, L. Medeiros, I. Oliveira ja M. Cancela Carvalho,
– Euroopan komissio, asiamiehinään H. Kranenborg, D. Nardi ja L. Nicolae,
päätettyään julkisasiamiestä kuultuaan ratkaista asian ilman ratkaisuehdotusta,
on antanut seuraavan
tuomion
1 Ennakkoratkaisupyyntö koskee yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY (EYVL 1995, L 281, s. 31) 6 artiklan 1 kohdan e alakohdan ja 7 artiklan f alakohdan sekä Euroopan unionin perusoikeuskirjan (jäljempänä perusoikeuskirja) 8 ja 52 artiklan tulkintaa.
2 Tämä pyyntö on esitetty asiassa, jossa vastakkain ovat TK ja Asociaţia de Proprietari bloc M5A-ScaraA (kiinteistön M5A A-rapun yhteisomistajien yhtymä, Romania; jäljempänä yhteisomistajien yhtymä) ja jossa TK on vaatinut mainitun yhtymän velvoittamista ottamaan tämän kiinteistön videovalvontajärjestelmä pois käytöstä ja poistamaan sen yhteisiin tiloihin asennetut kamerat.
Asiaa koskevat oikeussäännöt
Unionin oikeus
3 Direktiivi 95/46 kumottiin ja korvattiin 25.5.2018 lukien luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta 27.4.2016 annetulla Euroopan parlamentin ja neuvoston asetuksella (EU) 2016/679 (EUVL 2016, L 119, s. 1). Pääasian oikeudenkäynnissä sovelletaan kuitenkin edelleen tätä direktiiviä kyseessä olevien tosiseikkojen tapahtuma-ajan vuoksi.
4 Direktiivin 95/46 1 artiklan mukaan tämän direktiivin tavoitteena oli turvata henkilötietojen käsittelyssä luonnollisille henkilöille heidän perusoikeutensa ja ‑vapautensa ja erityisesti heidän oikeutensa yksityisyyteen sekä poistaa näiden tietojen vapaata liikkuvuutta koskevat esteet.
5 Mainitun direktiivin 3 artiklan 1 kohdassa säädettiin seuraavaa:
”Tätä direktiiviä sovelletaan osittain tai kokonaan automatisoituun tietojenkäsittelyyn sekä sellaisten henkilötietojen manuaaliseen käsittelyyn, jotka muodostavat rekisterin osan tai joiden on tarkoitus muodostaa rekisterin osa.”
6 Mainitun direktiivin II lukuun kuului I jakso, jonka otsikko oli ”Tietojen laatua koskevat periaatteet”, johon kuului ainoastaan saman direktiivin 6 artikla, jossa säädettiin seuraavaa:
”1. Jäsenvaltioiden on säädettävä siitä, että
a) henkilötietoja käsitellään asianmukaisesti ja laillisesti,
b) henkilötiedot kerätään tiettyä nimenomaista ja laillista tarkoitusta varten, eikä niitä myöhemmin saa käsitellä näiden tarkoitusten kanssa yhteensopimattomalla tavalla. Myöhempää käsittelyä historiantutkimusta taikka tilastollisia tai tieteellisiä tarkoituksia varten ei pidetä yhteensopimattomana, sillä edellytyksellä, että jäsenvaltiot toteuttavat tarpeelliset suojatoimet,
c) henkilötiedot ovat asianmukaisia, olennaisia eivätkä liian laajoja siihen tarkoitukseen, mihin ne on kerätty ja missä niitä myöhemmin käsitellään,
d) henkilötiedot ovat täsmällisiä ja tarvittaessa päivitettyjä; on tehtävä kaikki mahdollinen sen varmistamiseksi, että niihin tarkoituksiin nähden virheelliset tai puutteelliset tiedot, joita varten tiedot kerättiin tai joissa niitä myöhemmin käsitellään, poistetaan tai oikaistaan,
e) henkilötiedot säilytetään muodossa, josta rekisteröity on tunnistettavissa ainoastaan sen ajan, kuin on tarpeen niiden tarkoitusten toteuttamista varten, joita varten tiedot kerättiin tai joissa niitä myöhemmin käsitellään. Jäsenvaltiot toteuttavat niiden henkilötietojen tarpeelliset suojatoimet, joita säilytetään edellä tarkoitettua aikaa kauemmin historiantutkimusta taikka tilastollisia tai tieteellisiä tarkoituksia vartan.
2. Rekisterinpitäjän on huolehdittava 1 kohdan noudattamisesta.”
7 Direktiivin 95/46 7 artiklassa, joka kuului mainitun II luvun II jaksoon, jonka otsikko oli ”Tietojenkäsittelyn laillisuutta koskevat periaatteet”, säädettiin seuraavaa:
”Jäsenvaltioiden on säädettävä siitä, että henkilötietoja voidaan käsitellä ainoastaan,
a) jos rekisteröity on yksiselitteisesti antanut suostumuksensa, tai
b) jos käsittely on tarpeen sellaisen sopimuksen täytäntöön panemiseksi, jossa rekisteröity on osallisena, tai sopimusta edeltävien toimenpiteiden toteuttamiseksi rekisteröidyn pyynnöstä, tai
c) jos käsittely on tarpeen rekisterinpitäjän laillisen velvoitteen noudattamiseksi, tai
d) jos käsittely on tarpeen rekisteröidyn elintärkeän edun suojaamiseksi, tai
e) jos käsittely on tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai sellaisen julkisen vallan käyttämiseksi, joka kuuluu rekisterinpitäjälle tai sivulliselle, jolle tiedot luovutetaan, tai
f) jos käsittely on tarpeen rekisterinpitäjän tai tiedot saavan sivullisen oikeutetun intressin toteuttamiseksi, paitsi milloin tämän intressin syrjäyttävät rekisteröidyn 1 artiklan 1 kohdan perusteella suojaa tarvitsevat intressit ja perusoikeudet ja ‑vapaudet.”
Romanian oikeus
8 Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta annettu laki nro 677/2001 (Legea nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date; Monitorul Oficial al României, osa I, nro 790, 12.12.2001), sellaisena kuin se on muutettuna lailla nro 102/2005 ja hallituksen kiireellisellä asetuksella nro 36/2007, jota sovellettiin ajallisesti pääasiassa, annettiin direktiivin 95/46 saattamiseksi osaksi Romanian oikeutta.
9 Mainitun lain 5 §:ssä säädettiin seuraavaa:
”1. Henkilötietojen käsittely on sallittua vain, jos rekisteröity on nimenomaisesti ja yksiselitteisesti antanut suostumuksensa käsittelyyn, paitsi jos kyseessä ovat 7 §:n 1 momentissa sekä 8 ja 10 §:ssä mainittuihin ryhmiin kuuluvat tiedot.
2. Rekisteröidyn suostumusta ei vaadita seuraavissa tapauksissa:
a) jos käsittely on tarpeen sellaisen sopimuksen tai esisopimuksen täytäntöön panemiseksi, jossa rekisteröity on osapuolena, tai sopimusta tai esisopimusta edeltävien toimenpiteiden toteuttamiseksi rekisteröidyn pyynnöstä
b) jos käsittely on tarpeen rekisteröidyn tai muun vaarassa olevan henkilön hengen, fyysisen koskemattomuuden tai terveyden suojelemiseksi
c) jos käsittely on tarpeen rekisterinpitäjän laillisen velvoitteen noudattamiseksi
d) jos käsittely on tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai sellaisen julkisen vallan käyttämiseksi, joka kuuluu rekisterinpitäjälle tai sivulliselle, jolle tiedot luovutetaan
e) jos käsittely on tarpeen rekisterinpitäjän tai tiedot saavan sivullisen oikeutetun intressin toteuttamiseksi, edellyttäen, että tällä intressillä ei loukata rekisteröidyn intressiä tai perusoikeuksia ja ‑vapauksia
f) jos käsittely koskee tietoja, jotka ovat peräisin lain nojalla yleisön saatavilla olevista asiakirjoista
g) jos käsittely suoritetaan yksinomaan tilastollisia tarkoituksia tai historiallista tai tieteellistä tutkimusta koskevia tarkoituksia varten ja tiedot pysyvät anonyymeinä koko käsittelyn ajan.
3. Edellä 2 momentissa säädettyä sovelletaan, jollei säännöksistä, jotka koskevat viranomaisten velvollisuutta kunnioittaa ja suojata henkilökohtaista elämää, perhe-elämää ja yksityiselämää, muuta johdu.”
10 Henkilötietojen käsittelystä videovalvontalaitteilla annetun henkilötietojen käsittelyä valvovan kansallisen viranomaisen (Autoritate Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal, jäljempänä ANSPDCP) päätöksen nro 52/2012, sellaisena kuin sitä sovelletaan pääasiassa, 1 §:ssä säädettiin seuraavaa:
”Kuvien kerääminen, tallentaminen, säilyttäminen, käyttö, siirtäminen, levittäminen tai muut käsittelytoimet videovalvontalaitteilla siten, että luonnolliset henkilöt on mahdollista tunnistaa suoraan tai välillisesti, ovat henkilötietojen käsittelyä koskevia toimia, jotka kuuluvat [lain nro 677/2001] soveltamisalaan.”
11 Mainitun päätöksen 4 §:ssä säädettiin seuraavaa:
”Videovalvonta on pääsääntöisesti sallittua seuraavia tarkoituksia varten:
a) rikosten ehkäiseminen ja torjunta
b) tieliikenteen valvonta ja tieliikennesääntöjen rikkomisten toteaminen
c) henkilöiden, omaisuuden ja varojen sekä rakennusten ja yleishyödyllisten laitosten sekä niihin liittyvien alueiden valvonta ja suojelu
d) yleistä etua koskevien toimien toteuttaminen tai julkisen vallan oikeuksien käyttö
e) oikeutettujen intressien toteuttaminen, mikäli sillä ei loukata rekisteröityjen perusoikeuksia ja ‑vapauksia.”
12 Mainitun päätöksen 5 §:n 1–3 momentissa säädettiin seuraavaa:
”1. Videovalvonta voidaan toteuttaa yleisölle avoimissa ja yleisölle tarkoitetuissa paikoissa ja tiloissa, mukaan luettuna julkisella tai yksityisellä alueella olevat julkiset tiet, laissa säädetyin edellytyksin.
2. Videovalvontakamerat on asennettava näkyvästi.
3. Piilotettujen videovalvontalaitteiden käyttö on kielletty laissa säädettyjä tapauksia lukuun ottamatta.”
13 Saman päätöksen 6 §:ssä säädettiin seuraavaa:
”Henkilötietojen käsittely voidaan suorittaa videovalvontajärjestelmien avulla rekisteröidyn nimenomaisella ja yksiselitteisellä suostumuksella tai – – lain nro 677/2001 5 §:n 2 momentissa tarkoitetuissa tapauksissa.”
Pääasia ja ennakkoratkaisukysymykset
14 TK asuu omistamassaan asunnossa, joka sijaitsee kiinteistössä M5A. Yhteisomistajien yhtymä teki 7.4.2016 pidetyssä yhtiökokouksessa mainitun kiinteistön eräiden yhteisomistajien pyynnöstä päätöksen, jossa hyväksyttiin videovalvontakameroiden asentaminen kiinteistöön.
15 Mainitun päätöksen mukaisesti kiinteistön M5A yhteisiin tiloihin asennettiin kolme videovalvontakameraa. Ensimmäinen kamera suunnattiin kiinteistön julkisivua kohti, ja toinen ja kolmas kamera sijoitettiin kiinteistön pohjakerroksen sisääntuloaulaan ja hissiin.
16 TK vastusti mainitun videovalvontajärjestelmän asentamista sillä perusteella, että sillä loukattiin oikeutta yksityiselämän kunnioitukseen.
17 Kun TK oli todennut, että hänen esittämistään lukuisista vaatimuksista huolimatta ja huolimatta siitä, että yhteisomistajien yhtymä oli kirjallisesti myöntänyt käyttöönotetun videovalvontajärjestelmän olevan lainvastainen, kyseinen järjestelmä oli yhä käytössä, se saattoi asian ennakkoratkaisua pyytäneen tuomioistuimen käsiteltäväksi ja vaati mainitun yhtymän velvoittamista sakon uhalla ottamaan pois kyseiset kolme kameraa ja poistamaan ne lopullisesti käytöstä.
18 TK väitti ennakkoratkaisua pyytäneessä tuomioistuimessa, että kyseisellä videovalvontajärjestelmällä rikottiin unionin primaarioikeutta ja johdettua oikeutta, erityisesti kantajan oikeutta yksityiselämän kunnioitukseen, sekä oikeutta yksityiselämän kunnioitukseen koskevaa kansallista oikeutta. Hän väitti lisäksi, että yhteisomistajien yhtymä oli toiminut henkilötietojen käsittelyä suorittavana rekisterinpitäjänä noudattamatta laissa tätä tarkoitusta varten säädettyä rekisteröintimenettelyä.
19 Yhteisomistajien yhtymä totesi, että päätös asentaa videovalvontajärjestelmä oli tehty tarkoituksena valvoa mahdollisimman tehokkaasti sitä, kuka tulee kiinteistöön sisään ja kuka poistuu sieltä, koska hissiin oli kohdistettu useita kertoja ilkivaltaa ja useat asunnot ja yhteiset tilat olivat olleet murtojen ja varkauksien kohteena.
20 Se totesi myös, että sen aikaisemmin toteuttamilla muilla toimenpiteillä eli sillä, että kiinteistöön asennettiin sisäänkäyntijärjestelmä, johon kuului ovipuhelin ja magneettikortti, ei ollut kyetty estämään samantyyppisten rikkomusten jatkuvaa toistumista.
21 Lisäksi yhteisomistajien yhtymä toimitti TK:lle pöytäkirjan, joka oli laadittu videovalvontajärjestelmän kamerat asentaneen yhtiön kanssa ja jossa todetaan, että järjestelmän kovalevy oli 21.10.2016 tyhjennetty ja kytketty pois päältä, se oli poistettu käytöstä ja tallennetut kuvat oli tuhottu.
22 Se toimitti TK:lle myös toisen, 18.5.2017 päivätyn pöytäkirjan, josta ilmenee, että kyseiset kolme videovalvontakameraa oli otettu pois käytöstä. Tässä pöytäkirjassa täsmennettiin, että yhteisomistajien yhtymä oli tuolla välin käynyt läpi menettelyn, jossa se voitiin rekisteröidä henkilötietojen käsittelyä suorittavaksi rekisterinpitäjäksi.
23 TK huomautti kuitenkin ennakkoratkaisua pyytäneessä tuomioistuimessa, että videovalvontajärjestelmän kyseiset kolme kameraa olivat yhä paikoillaan.
24 Ennakkoratkaisua pyytänyt tuomioistuin toteaa, että lain nro 677/2001 5 §:ssä säädetään yleisesti, että henkilötietojen käsittely, kuten kuvien tallentaminen videovalvontajärjestelmän avulla, on sallittua vain rekisteröidyn nimenomaisella ja yksiselitteisellä suostumuksella. Saman pykälän 2 momentissa säädetään kuitenkin poikkeuksista tähän sääntöön muun muassa tapauksessa, jossa henkilötietojen käsittely on tarpeen rekisteröidyn tai muun vaarassa olevan henkilön hengen, fyysisen koskemattomuuden tai terveyden suojelemiseksi. ANSPDCP:n päätöksessä nro 52/2012 säädetään vastaavanlaisesta poikkeuksesta.
25 Ennakkoratkaisua pyytänyt tuomioistuin viittaa tämän jälkeen erityisesti perusoikeuskirjan 52 artiklan 1 kohtaan, jossa vahvistetaan periaate, jonka mukaan kansalaisten oikeuksiin ja vapauksiin puuttumisella tavoitellun päämäärän ja käytettyjen keinojen on oltava oikeassa suhteessa toisiinsa.
26 Ennakkoratkaisua pyytänyt tuomioistuin toteaa, että ei vaikuta siltä, että sen käsiteltävänä olevan asian kohteena olevaa videovalvontajärjestelmää olisi käytetty sellaisella tavalla tai sellaista tarkoitusta varten, joka ei vastannut yhteisomistajien yhtymän ilmoittamaa päämäärää eli rekisteröityjen eli sen kiinteistön, jonne mainittu järjestelmä on asennettu, yhteisomistajien hengen, fyysisen koskemattomuuden tai terveyden suojaamista.
27 Tässä tilanteessa Tribunalul Bucureşti (Bukarestin alioikeus, Romania) päätti lykätä asian käsittelyä ja esittää unionin tuomioistuimelle seuraavat ennakkoratkaisukysymykset:
”1) Onko perusoikeuskirjan 8 ja 52 artiklaa sekä direktiivin 95/46 7 artiklan f alakohtaa tulkittava siten, että ne ovat esteenä pääasiassa kyseessä olevien kaltaisille kansallisille säännöksille eli [lain nro 677/2001] 5 §:n 2 momentille ja [ANSPDCP:n päätöksen nro 52/2012] 6 §:lle, joiden nojalla on mahdollista käyttää videovalvontaa henkilöiden, omaisuuden ja varojen turvaamiseksi ja suojaamiseksi ja oikeutettujen intressien toteuttamiseksi ilman rekisteröidyn suostumusta?
2) Onko perusoikeuskirjan 8 ja 52 artiklaa tulkittava siten, että oikeuksien ja vapauksien rajoittaminen videovalvonnalla on suhteellisuusperiaatteen mukaista ja välttämätöntä ja vastaa ’yleisen edun mukaisia tavoitteita tai tarvetta suojella muiden henkilöiden oikeuksia ja vapauksia’, jos rekisterinpitäjä voisi toteuttaa muita toimenpiteitä kyseisen oikeutetun intressin suojaamiseksi?
3) Onko direktiivin 95/46 7 artiklan f alakohtaa tulkittava siten, että rekisterinpitäjän ’oikeutettu intressi’ on näytettävä toteen ja sen on oltava henkilötietojen käsittelyn hetkellä jo syntynyt ja edelleen olemassa oleva?
4) Onko direktiivin 95/46 6 artiklan 1 kohdan e alakohtaa tulkittava siten, että käsittely (videovalvonta) on liiallista tai ei ole asianmukaista, jos rekisterinpitäjä voi toteuttaa muita toimenpiteitä kyseisen oikeutetun intressin suojaamiseksi?”
Ennakkoratkaisukysymysten tarkastelu
28 Aluksi on todettava ensinnäkin, että vaikka ennakkoratkaisua pyytänyt tuomioistuin viittaa neljännessä kysymyksessään direktiivin 95/46 6 artiklan 1 kohdan e alakohtaan, se ei selosta, miten tämä säännös on merkityksellinen pääasian ratkaisun kannalta.
29 Mainittu säännös näet koskee ainoastaan niitä vaatimuksia, jotka henkilötietojen säilyttämisessä on täytettävä. Minkään unionin tuomioistuimen käytettävissä olevaan asiakirja-aineistoon sisältyvän seikan perusteella ei voida katsoa, että pääasiassa olisi kyse tästä seikasta.
30 Sitä vastoin siltä osin kuin ennakkoratkaisua pyytänyt tuomioistuin tiedustelee tällä kysymyksellä pääasiallisesti, onko sen käsiteltävänä olevan asian kohteena olevan kaltaisen videovalvontajärjestelmän käyttöönotto oikeassa suhteessa tavoiteltuihin päämääriin nähden, on todettava, että sen ratkaiseminen, vastaavatko tämän järjestelmän avulla kerätyt henkilötiedot oikeasuhteisuuden vaatimusta, liittyy direktiivin 95/46 6 artiklan 1 kohdan c alakohdan tulkintaan.
31 Viimeksi mainittu säännös on otettava huomioon tutkittaessa direktiivin 95/46 7 artiklan f alakohdassa asetettua toista edellytystä, jonka mukaan henkilötietojen käsittelyn on oltava ”tarpeen” oikeutetun intressin toteuttamiseksi.
32 Toiseksi ennakkoratkaisua pyytänyt tuomioistuin viittaa ensimmäisessä ja toisessa kysymyksessään perusoikeuskirjan 8 ja 52 artiklaan, joko erikseen tarkasteltuina tai luettuina yhdessä direktiivin 95/46 7 artiklan f alakohdan kanssa. Unionin tuomioistuin on kuitenkin jo täsmentänyt, että tässä säännöksessä asetetun edellytyksen, joka koskee tietosuojan kohteena olevan henkilön sellaisten perusoikeuksien ja ‑vapauksien olemassaoloa, jotka syrjäyttävät rekisterinpitäjän tai sivullisen, jolle tiedot luovutetaan, oikeutetun intressin, arviointi edellyttää kyseessä olevien vastakkaisten oikeuksien ja intressien punnitsemista ottaen huomioon kunkin tapauksen konkreettiset olosuhteet; tällöin on otettava huomioon rekisteröidyn niiden oikeuksien merkitys, jotka perustuvat perusoikeuskirjan 7 ja 8 artiklaan (tuomio 24.11.2011, Asociación Nacional de Establecimientos Financieros de Crédito, C-468/10 ja C-469/10, EU:C:2011:777, 40 kohta). Tästä seuraa, että mainittuja 8 ja 52 artiklaa ei ole sovellettava nyt käsiteltävässä asiassa erikseen.
33 Edellä esitetyn perusteella on katsottava, että ennakkoratkaisua pyytänyt tuomioistuin tiedustelee kysymyksillään, joita on arvioitava yhdessä, pääasiallisesti, onko direktiivin 95/46 6 artiklan 1 kohdan c alakohtaa ja 7 artiklan f alakohtaa, luettuina perusoikeuskirjan 7 ja 8 artiklan valossa, tulkittava siten, että ne ovat esteenä kansallisille säännöksille, joiden nojalla on mahdollista ottaa käyttöön pääasiassa kyseessä olevan, asuinkäytössä olevan kiinteistön yhteisiin tiloihin asennetun järjestelmän kaltainen videovalvontajärjestelmä henkilöiden ja omaisuuden turvaamista ja suojaamista koskevien oikeutettujen intressien toteuttamiseksi ilman rekisteröityjen suostumusta.
34 On muistutettava, että valvonta, joka toteutetaan henkilöistä tehdyin videotallentein, joita säilytetään jatkuvasti tallentavalla laitteella eli kovalevyllä, on direktiivin 95/46 3 artiklan 1 kohdassa tarkoitettua automatisoitua henkilötietojen käsittelyä (tuomio 11.12.2014, Ryneš, C-212/13, EU:C:2014:2428, 25 kohta).
35 Kameralla suoritettavan videovalvonnan on siten katsottava olevan mainitussa säännöksessä tarkoitettua automatisoitua henkilötietojen käsittelyä, kun käyttöön otetulla laitteella on mahdollista tallentaa ja säilyttää henkilötietoja kuten kuvia, joiden avulla voidaan tunnistaa luonnollisia henkilöitä. Ennakkoratkaisua pyytäneen tuomioistuimen tehtävänä on selvittää, onko pääasiassa kyseessä olevalla järjestelmällä tällaiset ominaispiirteet.
36 Lisäksi henkilötietojen käsittelyssä on noudatettava yhtäältä tietojen laatua koskevia periaatteita, jotka mainitaan direktiivin 95/46 6 artiklassa, ja toisaalta jotakin tietojen käsittelyn laillisuutta koskevista periaatteista, jotka luetellaan mainitun direktiivin 7 artiklassa (tuomio 13.5.2014, Google Spain ja Google, C-131/12, EU:C:2014:317, 71 kohta oikeuskäytäntöviittauksineen).
37 Direktiivin 95/46 7 artiklassa vahvistetaan tyhjentävä luettelo tilanteista, joissa henkilötietojen käsittelyn voidaan katsoa olevan laillista. Jäsenvaltiot eivät voi lisätä kyseiseen artiklaan uusia henkilötietojen käsittelyn laillistamista koskevia periaatteita eivätkä säätää lisävaatimuksista, joilla muutettaisiin jonkin niiden kuuden periaatteen ulottuvuutta, joista tässä artiklassa on säädetty (tuomio 19.10.2016, Breyer, C-582/14, EU:C:2016:779, 57 kohta).
38 Tästä seuraa, että jotta henkilötietojen käsittelyn voidaan katsoa olevan oikeutettua, sen on kuuluttava johonkin direktiivin 95/46 7 artiklassa säädetyistä kuudesta tapauksesta.
39 Ennakkoratkaisua pyytäneen tuomioistuimen esittämät kysymykset koskevat erityisesti henkilötietojen käsittelyn laillisuutta koskevaa periaatetta, josta säädetään direktiivin 95/46 7 artiklan f alakohdassa, joka saatettiin osaksi Romanian oikeutta lain nro 677/2001 5 §:n 2 momentin e kohdalla, johon viitataan myös ANSPDCP:n päätöksen nro 52/2012 6 §:ssä erityisesti videovalvontalaitteilla tapahtuvan henkilötietojen käsittelyn osalta.
40 Tältä osin direktiivin 95/46 7 artiklan f alakohdassa säädetään kolmesta kumulatiivisesta edellytyksestä henkilötietojen käsittelyn laillisuudelle, eli edellytetään ensinnäkin, että tietojen käsittely tapahtuu rekisterinpitäjän tai tiedot saavan sivullisen oikeutetun intressin toteuttamiseksi, toiseksi, että henkilötietojen käsittely on tarpeen oikeutetun intressin toteuttamiseksi, ja kolmanneksi, että henkilön, jota tietosuoja koskee, perusoikeudet ja ‑vapaudet eivät syrjäytä tätä oikeutettua intressiä (tuomio 4.5.2017, Rīgas satiksme, C-13/16, EU:C:2017:336, 28 kohta).
41 On korostettava, että direktiivin 95/46 7 artiklan f alakohdassa ei edellytetä rekisteröidyn suostumusta. Tällainen suostumus mainitaan edellytyksenä henkilötietojen käsittelylle ainoastaan mainitun direktiivin 7 artiklan a alakohdassa.
42 Nyt käsiteltävässä asiassa päämäärän, johon rekisterinpitäjä lähtökohtaisesti pyrkii ottaessaan käyttöön pääasiassa kyseessä olevan kaltaisen videovalvontajärjestelmän, eli kiinteistön yhteisomistajien omaisuuden, terveyden ja hengen suojelun, voidaan katsoa olevan direktiivin 95/46 7 artiklan f alakohdassa tarkoitettu oikeutettu intressi. Näin ollen tässä säännöksessä vahvistettu ensimmäinen edellytys lähtökohtaisesti täyttyy (ks. analogisesti tuomio 11.12.2014, Ryneš, C-212/13, EU:C:2014:2428, 34 kohta).
43 Ennakkoratkaisua pyytänyt tuomioistuin pohtii kuitenkin, onko mainitussa 7 artiklan f alakohdassa asetettu ensimmäinen edellytys käsitettävä siten, että rekisterinpitäjän tavoitteleman intressin on yhtäältä oltava toteen näytetty ja toisaalta käsittelyn hetkellä jo syntynyt ja edelleen olemassa oleva.
44 Tässä yhteydessä on todettava, kuten myös Romanian, Tšekin, Itävallan ja Portugalin hallitukset ja Irlanti sekä komissio ovat katsoneet, että koska direktiivin 95/46 7 artiklan f alakohdan nojalla henkilötietoja käsittelevän rekisterinpitäjän tai tiedot saavan sivullisen on tavoiteltava oikeutettua intressiä, jonka perusteella käsittely voidaan oikeuttaa, tämän intressin on oltava käsittelyn hetkellä jo syntynyt ja edelleen olemassa oleva eikä se saa tuona ajankohtana olla luonteeltaan hypoteettinen. Arvioitaessa kaikkia kyseessä olevaan asiaan liittyviä olosuhteita ei voida kuitenkaan välttämättä edellyttää, että omaisuuden tai henkilöiden turvallisuutta on aikaisemmin loukattu.
45 Pääasiassa kyseessä olevan kaltaisessa tilanteessa vaikuttaa kuitenkin siltä, että edellytys jo syntyneen ja edelleen olemassa olevan intressin olemassaolosta täyttyy, koska ennakkoratkaisua pyytänyt tuomioistuin toteaa, että kiinteistö oli ollut ennen videovalvontajärjestelmän käyttöön ottoa murtojen, varkauksien ja ilkivallan kohteena siitä huolimatta, että kiinteistön sisäänkäyntiin oli asennettu turvajärjestelmä, johon kuului ovipuhelin ja magneettikortti.
46 Direktiivin 95/46 7 artiklan f alakohdassa asetetusta toisesta edellytyksestä, joka koskee sitä, että henkilötietojen käsittelyn on oltava tarpeen oikeutetun intressin toteuttamiseksi, unionin tuomioistuin on muistuttanut, että henkilötietojen suojaa koskevat poikkeukset ja rajoitukset on toteutettava täysin välttämättömän rajoissa (tuomio 4.5.2017, Rīgas satiksme, C-13/16, EU:C:2017:336, 30 kohta oikeuskäytäntöviittauksineen).
47 Tämän edellytyksen osalta ennakkoratkaisua pyytäneen tuomioistuimen on selvitettävä, onko niin, että pääasiassa kyseessä olevalla videovalvonnalla toteutetulla tietojen käsittelyllä tavoiteltua oikeutettua intressiä eli pääasiallisesti omaisuuden ja henkilöiden turvallisuuden takaamista ja rikosten ehkäisemistä ei voida kohtuudella saavuttaa yhtä tehokkaasti muilla rekisteröityjen perusoikeuksia ja ‑vapauksia, erityisesti perusoikeuskirjan 7 ja 8 artiklassa taattuja yksityiselämän kunnioitusta ja henkilötietojen suojaa koskevia oikeuksia, vähemmän rajoittavilla keinoilla.
48 Kuten komissio on lisäksi todennut, edellytystä, jonka mukaan käsittelyn on oltava tarpeen, on tutkittava yhdessä direktiivin 95/46 6 artiklan 1 kohdan c alakohdassa vahvistetun niin kutsutun tietojen minimoinnin periaatteen kanssa; tämän periaatteen mukaan henkilötietojen on oltava asianmukaisia ja olennaisia eivätkä ne saa olla liian laajoja suhteessa siihen tarkoitukseen, mihin ne on kerätty ja missä niitä myöhemmin käsitellään.
49 Unionin tuomioistuimen käytettävissä olevan asiakirja-aineiston perusteella vaikuttaa siltä, että pääasiassa kyseessä olevan tietojen käsittelyn oikeasuhteisuutta koskevat vaatimukset on otettu huomioon. On näet kiistatonta, että alun perin toteutetut vaihtoehtoiset toimenpiteet eli kiinteistön sisäänkäyntiin asennettu turvajärjestelmä, johon kuului ovipuhelin ja magneettikortti, osoittautuivat riittämättömiksi. Lisäksi kyseisellä videovalvontalaitteistolla valvotaan ainoastaan kiinteistön yhteisiä tiloja ja sisääntuloja.
50 Videovalvontalaitteistolla toteutetun tietojen käsittelyn oikeasuhteisuutta on kuitenkin arvioitava ottamalla huomioon kyseisen laitteiston käyttöönottoa ja toimintaa koskevat konkreettiset toteuttamistavat, joilla on rajoitettava puuttumista rekisteröityjen oikeuksiin ja vapauksiin siten, että mainitun videovalvontajärjestelmän tehokkuus kuitenkin taataan.
51 Kuten komissio on todennut, edellytys, jonka mukaan käsittelyn on oltava tarpeen, tarkoittaa siten sitä, että rekisterinpitäjän on tutkittava esimerkiksi, onko riittävää, että videovalvonta toimii vain öisin tai normaalien työssäkäyntiaikojen ulkopuolella ja että tiloissa, joissa valvonta ei ole tarpeen, ei oteta kuvia tai siellä otetut kuvat tehdään tunnistamattomiksi.
52 Direktiivin 95/46 7 artiklan f alakohdassa asetetusta kolmannesta edellytyksestä, joka koskee tietosuojan kohteena olevan henkilön perusoikeuksien ja ‑vapauksien, jotka syrjäyttävät rekisterinpitäjän tai sivullisen, jolle tiedot luovutetaan, oikeutetun intressin olemassaoloa, on muistutettava, kuten on jo todettu nyt annettavan tuomion 32 kohdassa, että tämän edellytyksen arviointi edellyttää kyseessä olevien vastakkaisten oikeuksien ja intressien punnitsemista ottaen huomioon kunkin tapauksen konkreettiset olosuhteet, jolloin on otettava huomioon rekisteröidyn niiden oikeuksien merkitys, jotka perustuvat perusoikeuskirjan 7 ja 8 artiklaan.
53 Unionin tuomioistuin on todennut tässä asiayhteydessä, että direktiivin 7 artiklan f alakohta on esteenä sille, että jäsenvaltio sulkee ehdottomasti ja yleisesti pois mahdollisuuden käsitellä tiettyihin tietoryhmiin kuuluvia henkilötietoja sallimatta niiden oikeuksien ja intressien punnitsemista, joista on kyse tietyssä yksittäisessä tapauksessa. Jäsenvaltio ei voi siis näiden ryhmien osalta vahvistaa lopullisesti, mikä vastakkaisten oikeuksien ja intressien punnitsemisen tulos on, sallimatta muunlaista tulosta tiettyjen konkreettisessa tapauksessa vallitsevien erityisten olosuhteiden perusteella (tuomio 19.10.2016, Breyer, C-582/14, EU:C:2016:779, 62 kohta).
54 Unionin tuomioistuimen oikeuskäytännöstä ilmenee myös, että tätä punnitsemista suoritettaessa huomioon voidaan ottaa se, että rekisteröidyn perusoikeuksiin häntä koskevien tietojen käsittelyn vuoksi kohdistuvan loukkauksen vakavuus voi vaihdella sen mukaan, ovatko kyseessä olevat tiedot mahdollisesti jo yleisön saatavilla olevissa lähteissä (ks. vastaavasti tuomio 4.5.2017, Rīgas satiksme, C-13/16, EU:C:2017:336, 32 kohta).
55 Yleisön saatavilla olevissa lähteissä olevien tietojen käsittelystä poiketen sellaisten tietojen käsittely, jotka eivät ole yleisön saatavilla olevassa lähteessä, merkitsee, että rekisteröidyn yksityiselämää koskevia tietoja tulee käsittelystä vastaavan henkilön tietoon tai mahdollisesti sellaisen sivullisen tietoon, jolle tiedot on luovutettu. Tällainen rekisteröidylle perusoikeuskirjan 7 ja 8 artiklassa taattujen oikeuksien vakavampi loukkaaminen on otettava huomioon ja sen painoarvoa on verrattava siihen oikeutettuun intressiin, joka on rekisterinpitäjällä tai sivullisella, jolle tiedot on luovutettu (ks. vastaavasti tuomio 24.11.2011, Asociación Nacional de Establecimientos Financieros de Crédito, C-468/10 ja C-469/10, EU:C:2011:777, 45 kohta).
56 Rekisteröidyn perusoikeuksiin ja ‑vapauksiin kohdistuvan loukkauksen vakavuutta koskeva kriteeri on olennainen seikka suoritettaessa direktiivin 95/46 7 artiklan f alakohdassa vaadittua punnitsemista tai tapauskohtaista vertailua.
57 Tässä yhteydessä on muun muassa otettava huomioon kyseisten henkilötietojen luonne ja erityisesti se, ovatko ne mahdollisesti arkaluontoisia, sekä kyseisten tietojen käsittelyn luonne ja konkreettiset toteuttamistavat, kuten erityisesti niiden henkilöiden määrä, joilla on oikeus saada näitä tietoja, sekä tavat, joilla oikeus saada näitä tietoja toteutetaan.
58 Tätä punnitsemista suoritettaessa merkitystä on myös sillä, voiko rekisteröity kohtuudella odottaa, että häntä koskevia henkilötietoja ei käsitellä, jos rekisteröity ei kyseisissä olosuhteissa voi kohtuudella odottaa, että näitä tietoja käsitellään myöhemmin.
59 Lopuksi näiden seikkojen painoarvoa on verrattava kyseisellä videovalvontajärjestelmällä tavoitellun sen oikeutetun intressin merkitykseen, joka on kaikilla kyseisen kiinteistön yhteisomistajilla ja jolla pyritään pääasiallisesti turvaamaan kyseisten yhteisomistajien omaisuuden, terveyden ja hengen suojaaminen.
60 Edellä esitetyn perusteella ennakkoratkaisukysymyksiin on vastattava, että direktiivin 95/46 6 artiklan 1 kohdan c alakohtaa ja 7 artiklan f alakohtaa, luettuina perusoikeuskirjan 7 ja 8 artiklan valossa, on tulkittava siten, että ne eivät ole esteenä kansallisille säännöksille, joiden nojalla on mahdollista ottaa käyttöön pääasiassa kyseessä olevan, asuinkäytössä olevan kiinteistön yhteisiin tiloihin asennetun järjestelmän kaltainen videovalvontajärjestelmä, jolla on tarkoitus toteuttaa henkilöiden ja omaisuuden turvaamista ja suojaamista koskevia oikeutettuja intressejä, ilman rekisteröityjen suostumusta, jos videovalvontajärjestelmän avulla suoritettu henkilötietojen käsittely vastaa mainitussa 7 artiklan f alakohdassa asetettuja edellytyksiä, mikä on ennakkoratkaisua pyytäneen tuomioistuimen asiana selvittää.
Oikeudenkäyntikulut
61 Pääasian asianosaisten osalta asian käsittely unionin tuomioistuimessa on välivaihe kansallisessa tuomioistuimessa vireillä olevan asian käsittelyssä, minkä vuoksi kansallisen tuomioistuimen asiana on päättää oikeudenkäyntikulujen korvaamisesta. Oikeudenkäyntikuluja, jotka ovat aiheutuneet muille kuin näille asianosaisille huomautusten esittämisestä unionin tuomioistuimelle, ei voida määrätä korvattaviksi.
Näillä perusteilla unionin tuomioistuin (kolmas jaosto) on ratkaissut asian seuraavasti:
Yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY 6 artiklan 1 kohdan c alakohtaa ja 7 artiklan f alakohtaa, luettuina Euroopan unionin perusoikeuskirjan 7 ja 8 artiklan valossa, on tulkittava siten, että ne eivät ole esteenä kansallisille säännöksille, joiden nojalla on mahdollista ottaa käyttöön pääasiassa kyseessä olevan, asuinkäytössä olevan kiinteistön yhteisiin tiloihin asennetun järjestelmän kaltainen videovalvontajärjestelmä, jolla on tarkoitus toteuttaa henkilöiden ja omaisuuden turvaamista ja suojaamista koskevia oikeutettuja intressejä, ilman rekisteröityjen suostumusta, jos videovalvontajärjestelmän avulla suoritettu henkilötietojen käsittely vastaa mainitussa 7 artiklan f alakohdassa asetettuja edellytyksiä, mikä on ennakkoratkaisua pyytäneen tuomioistuimen asiana selvittää.
Allekirjoitukset