UNIONIN TUOMIOISTUIMEN TUOMIO (ensimmäinen jaosto)
12 päivänä tammikuuta 2023 (*)
Ennakkoratkaisupyyntö – Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus (EU) 2016/679 – 15 artiklan 1 kohdan c alakohta – Rekisteröidyn oikeus saada tutustua omiin tietoihinsa – Tiedot vastaanottajasta tai vastaanottajaryhmistä, joille henkilötietoja on luovutettu tai on tarkoitus luovuttaa – Rajoitukset
Asiassa C‑154/21,
jossa on kyse SEUT 267 artiklaan perustuvasta ennakkoratkaisupyynnöstä, jonka Oberster Gerichtshof (ylin tuomioistuin, Itävalta) on esittänyt 18.2.2021 tekemällään päätöksellä, joka on saapunut unionin tuomioistuimeen 9.3.2021, saadakseen ennakkoratkaisun asiassa
RW
vastaan
Österreichische Post AG,
UNIONIN TUOMIOISTUIN (ensimmäinen jaosto),
toimien kokoonpanossa: jaoston puheenjohtaja A. Arabadjiev, varapresidentti L. Bay Larsen, joka hoitaa ensimmäisen jaoston tuomarin tehtäviä, sekä tuomarit P. G. Xuereb, A. Kumin ja I. Ziemele (esittelevä tuomari),
julkisasiamies: G. Pitruzzella,
kirjaaja: A. Calot Escobar,
ottaen huomioon kirjallisessa käsittelyssä esitetyn,
ottaen huomioon huomautukset, jotka sille ovat esittäneet
– RW, edustajanaan R. Haupt, Rechtsanwalt,
– Österreichische Post AG, edustajanaan R. Marko, Rechtsanwalt,
– Itävallan hallitus, asiamiehinään G. Kunnert, A. Posch ja J. Schmoll,
– Tšekin hallitus, asiamiehinään M. Smolek ja J. Vláčil,
– Italian hallitus, asiamiehenään G. Palmieri, avustajanaan M. Russo, avvocato dello Stato,
– Latvian hallitus, asiamiehinään J. Davidoviča, I. Hūna ja K. Pommere,
– Romanian hallitus, asiamiehinään L.-E. Bațagoi, E. Gane ja A. Wellman,
– Ruotsin hallitus, asiamiehinään H. Eklinder, M. J. Lundberg, C. Meyer-Seitz, A. M. Runeskjöld, M. Salborn Hodgson, R. Shahsavan Eriksson, H. Shev ja M. O. Simonsson,
– Euroopan komissio, asiamiehinään F. Erlbacher ja H. Kranenborg,
kuultuaan julkisasiamiehen 9.6.2022 pidetyssä istunnossa esittämän ratkaisuehdotuksen,
on antanut seuraavan
tuomion
1 Ennakkoratkaisupyyntö koskee luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) (EUVL 2016, L 119, s. 1) 15 artiklan 1 kohdan c alakohdan tulkintaa.
2 Tämä pyyntö on esitetty asiassa, jossa asianosaisina ovat RW ja Österreichische Post AG (jäljempänä Österreichische Post) ja jossa on kyse pyynnöstä saada tutustua henkilötietoihin yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan c alakohdan nojalla.
Asiaa koskevat oikeussäännöt
3 Yleisen tietosuoja-asetuksen johdanto-osan 4, 9, 10, 39, 63 ja 74 perustelukappaleessa todetaan seuraavaa:
”(4) – – Oikeus henkilötietojen suojaan ei ole absoluuttinen; sitä on tarkasteltava suhteessa sen tehtävään yhteiskunnassa ja sen on suhteellisuusperiaatteen mukaisesti oltava oikeassa suhteessa muihin perusoikeuksiin. – –
– –
(9) [Yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annetun Euroopan parlamentin ja neuvoston] direktiivin 95/46/EY [(EYVL 1995, L 281, s. 31)] tavoitteet ja periaatteet ovat edelleen pätevät, mutta sen avulla ei ole pystytty estämään tietosuojan täytäntöönpanon hajanaisuutta eri puolilla [Euroopan] unionia, oikeudellista epävarmuutta tai laajalle levinnyttä näkemystä, jonka mukaan erityisesti verkkoympäristössä toimimiseen liittyy luonnollisten henkilöiden suojelun kannalta huomattavia riskejä. Jäsenvaltioiden väliset eroavuudet henkilötietojen käsittelyssä suhteessa luonnollisten henkilöiden oikeuksien ja vapauksien suojeluun, erityisesti oikeudessa henkilötietojen suojaan, voivat estää henkilötietojen vapaan liikkuvuuden unionin alueella. Nämä eroavuudet voivat muodostua esteeksi unionin taloudelliselle toiminnalle, vääristää kilpailua ja estää viranomaisia suorittamasta unionin oikeuden mukaisia velvollisuuksiaan. Tällaiset suojelun tasossa ilmenevät eroavuudet johtuvat direktiivin 95/46/EY täytäntöönpanossa ja soveltamisessa esiintyvistä eroista.
(10) Jotta voitaisiin varmistaa yhdenmukainen ja korkeatasoinen luonnollisten henkilöiden suojelu ja poistaa henkilötietojen liikkuvuuden esteet unionissa, luonnollisten henkilöiden oikeuksien ja vapauksien suojelun tason näiden tietojen käsittelyssä olisi oltava vastaava kaikissa jäsenvaltioissa. – –
– –
(39) Henkilötietojen käsittelyn olisi oltava laillista ja asianmukaista. Luonnollisille henkilöille olisi oltava läpinäkyvää, että heitä koskevia henkilötietoja kerätään ja käytetään ja niihin tutustutaan tai niitä käsitellään muulla tavoin sekä missä määrin henkilötietoja käsitellään tai on määrä käsitellä. Läpinäkyvyyden periaate edellyttää, että kyseisten henkilötietojen käsittelyyn liittyvien tietojen ja viestinnän on oltava helposti saatavilla ja ymmärrettävissä ja niissä on käytettävä selkeää ja yksinkertaista kieltä. – –
– –
(63) Rekisteröidyllä olisi oltava oikeus saada pääsy henkilötietoihin, joita hänestä on kerätty, sekä mahdollisuus käyttää tätä oikeutta vaivattomasti ja kohtuullisin väliajoin, jotta hän voi pysyä perillä käsittelyn lainmukaisuudesta ja tarkistaa sen. – – Jokaisella rekisteröidyllä olisi sen vuoksi oltava oikeus tietää ja saada ilmoitus erityisesti henkilötietojen käsittelyn tarkoituksista, ja jos mahdollista, käsittelyajasta, henkilötietojen vastaanottajista, käsiteltävien henkilötietojen automaattisen käsittelyn logiikasta sekä kyseisen käsittelyn mahdollisista seurauksista, ainakin jos käsittely perustuu profilointiin. – – Tämä oikeus ei saisi vaikuttaa epäedullisesti muiden oikeuksiin ja vapauksiin, joita ovat esimerkiksi liikesalaisuudet tai teollis- ja tekijänoikeudet ja erityisesti ohjelmistoja suojaavat tekijänoikeudet. Näiden seikkojen huomioon ottaminen ei kuitenkaan saisi johtaa siihen, että rekisteröidylle ei anneta minkäänlaista tietoa. – –
– –
(74) Olisi vahvistettava rekisterinpitäjän vastuu tämän suorittamasta tai rekisterinpitäjän puolesta suoritetusta henkilötietojen käsittelystä. Erityisesti rekisterinpitäjällä olisi oltava velvollisuus toteuttaa asianmukaisia ja tehokkaita toimenpiteitä, ja sen olisi voitava osoittaa, että käsittelytoimet ovat tämän asetuksen mukaisia, toimenpiteiden tehokkuus mukaan luettuna. Näitä toimenpiteitä toteutettaessa olisi otettava huomioon käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset sekä luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuva riski.”
4 Yleisen tietosuoja-asetuksen 1 artiklan, jonka otsikko on ”Kohde ja tavoitteet”, 2 kohdassa säädetään seuraavaa:
”Tällä asetuksella suojellaan luonnollisten henkilöiden perusoikeuksia ja ‑vapauksia ja erityisesti heidän oikeuttaan henkilötietojen suojaan.”
5 Yleisen tietosuoja-asetuksen 5 artiklassa, jonka otsikko on ”Henkilötietojen käsittelyä koskevat periaatteet”, säädetään seuraavaa:
”1. Henkilötietojen suhteen on noudatettava seuraavia vaatimuksia:
a) niitä on käsiteltävä lainmukaisesti, asianmukaisesti ja rekisteröidyn kannalta läpinäkyvästi (’lainmukaisuus, kohtuullisuus ja läpinäkyvyys’);
– –
2. Rekisterinpitäjä vastaa siitä, ja sen on pystyttävä osoittamaan se, että 1 kohtaa on noudatettu (’osoitusvelvollisuus’).”
6 Yleisen tietosuoja-asetuksen 12 artiklassa, jonka otsikko on ”Läpinäkyvä informointi, viestintä ja yksityiskohtaiset säännöt rekisteröidyn oikeuksien käyttöä varten”, säädetään seuraavaa:
”1. Rekisterinpitäjän on toteutettava asianmukaiset toimenpiteet toimittaakseen rekisteröidylle 13 ja 14 artiklan mukaiset tiedot ja 15–22 artiklan ja 34 artiklan mukaiset kaikki käsittelyä koskevat tiedot tiiviisti esitetyssä, läpinäkyvässä, helposti ymmärrettävässä ja saatavilla olevassa muodossa selkeällä ja yksinkertaisella kielellä varsinkin silloin, kun tiedot on tarkoitettu erityisesti lapselle. Tiedot on toimitettava kirjallisesti tai muulla tavoin ja tapauksen mukaan sähköisessä muodossa. Jos rekisteröity sitä pyytää, tiedot voidaan antaa suullisesti edellyttäen, että rekisteröidyn henkilöllisyys on vahvistettu muulla tavoin.
2. Rekisterinpitäjän on helpotettava 15–22 artiklan mukaisten rekisteröidyn oikeuksien käyttämistä. Edellä 11 artiklan 2 kohdassa tarkoitetuissa tapauksissa rekisterinpitäjä ei saa kieltäytyä toimimasta rekisteröidyn pyynnöstä tämän 15–22 artiklan mukaisten oikeuksien käyttämiseksi ellei rekisterinpitäjä osoita, ettei se pysty tunnistamaan rekisteröityä.
– –
5. Jäljempänä olevan 13 ja 14 artiklan nojalla toimitetut tiedot ja kaikki 15–22 ja 34 artiklaan perustuvat tiedot ja toimenpiteet ovat maksuttomia. Jos rekisteröidyn pyynnöt ovat ilmeisen perusteettomia tai kohtuuttomia, erityisesti jos niitä esitetään toistuvasti, rekisterinpitäjä voi joko
a) periä kohtuullisen maksun ottaen huomioon tietojen tai viestien toimittamisesta tai pyydetyn toimenpiteen toteuttamisesta aiheutuvat hallinnolliset kustannukset; tai
b) kieltäytyä suorittamasta pyydettyä toimea.
Näissä tapauksissa rekisterinpitäjän on osoitettava pyynnön ilmeinen perusteettomuus tai kohtuuttomuus.
– –”
7 Yleisen tietosuoja-asetuksen 13 artiklan, jonka otsikko on ”Toimitettavat tiedot, kun henkilötietoja kerätään rekisteröidyltä”, 1 kohdassa säädetään seuraavaa:
”Kerättäessä rekisteröidyltä häntä koskevia henkilötietoja rekisterinpitäjän on silloin, kun henkilötietoja saadaan, toimitettava rekisteröidylle kaikki seuraavat tiedot:
– –
e) mahdolliset henkilötietojen vastaanottajat tai vastaanottajaryhmät; – –
– –”
8 Yleisen tietosuoja-asetuksen 14 artiklan, jonka otsikko on ”Toimitettavat tiedot, kun henkilötietoja ei ole saatu rekisteröidyltä”, 1 kohdassa säädetään seuraavaa:
”Kun tietoja ei ole saatu rekisteröidyltä, rekisterinpitäjän on toimitettava rekisteröidylle seuraavat tiedot:
– –
e) mahdolliset henkilötietojen vastaanottajat tai vastaanottajaryhmät;
– –”
9 Yleisen tietosuoja-asetuksen 15 artiklassa, jonka otsikko on ”Rekisteröidyn oikeus saada tutustua tietoihin”, säädetään seuraavaa:
”1. Rekisteröidyllä on oikeus saada rekisterinpitäjältä vahvistus siitä, käsitelläänkö häntä koskevia henkilötietoja, ja jos näitä henkilötietoja käsitellään, oikeus saada tutustua henkilötietoihin sekä saada seuraavat tiedot:
a) käsittelyn tarkoitukset;
b) kyseessä olevat henkilötietoryhmät;
c) vastaanottajat tai vastaanottajaryhmät, erityisesti kolmansissa maissa olevat vastaanottajat tai kansainväliset järjestöt, joille henkilötietoja on luovutettu tai on tarkoitus luovuttaa;
d) mahdollisuuksien mukaan henkilötietojen suunniteltu säilytysaika tai jos se ei ole mahdollista, tämän ajan määrittämiskriteerit;
e) rekisteröidyn oikeus pyytää rekisterinpitäjältä häntä itseään koskevien henkilötietojen oikaisemista tai poistamista taikka henkilötietojen käsittelyn rajoittamista tai vastustaa tällaista käsittelyä;
f) oikeus tehdä valitus valvontaviranomaiselle;
g) jos henkilötietoja ei kerätä rekisteröidyltä, kaikki saatavilla olevat tiedot tietojen alkuperästä;
h) jäljempänä 22 artiklan 1 ja 4 kohdassa tarkoitetun automaattisen päätöksenteon, mukaan lukien profiloinnin olemassaolo, sekä ainakin näissä tapauksissa merkitykselliset tiedot käsittelyyn liittyvästä logiikasta samoin kuin kyseisen käsittelyn merkittävyys ja mahdolliset seuraukset rekisteröidylle.
2. Jos henkilötietoja siirretään kolmanteen maahan tai kansainväliselle järjestölle, rekisteröidyllä on oikeus saada ilmoitus 46 artiklassa tarkoitetuista siirtoa koskevista asianmukaisista suojatoimista.
3. Rekisterinpitäjän on toimitettava jäljennös käsiteltävistä henkilötiedoista. Jos rekisteröity pyytää useampia jäljennöksiä, rekisterinpitäjä voi periä niistä hallinnollisiin kustannuksiin perustuvan kohtuullisen maksun. Jos rekisteröity esittää pyynnön sähköisesti, tiedot on toimitettava yleisesti käytetyssä sähköisessä muodossa, paitsi jos rekisteröity toisin pyytää.
4. Oikeus saada 3 kohdassa tarkoitettu jäljennös ei saa vaikuttaa haitallisesti muiden oikeuksiin ja vapauksiin.”
10 Yleisen tietosuoja-asetuksen 16 artiklassa, jonka otsikko on ”Oikeus tietojen oikaisemiseen”, säädetään seuraavaa:
”Rekisteröidyllä on oikeus siihen, että rekisterinpitäjä oikaisee ilman aiheetonta viivytystä rekisteröityä koskevat virheelliset henkilötiedot. Ottaen huomioon tarkoitukset, joihin tietoja käsiteltiin, rekisteröidyllä on oikeus saada puutteelliset henkilötiedot täydennettyä, muun muassa toimittamalla lisäselvitys.”
11 Yleisen tietosuoja-asetuksen 17 artiklassa, jonka otsikko on ”Oikeus tietojen poistamiseen (’oikeus tulla unohdetuksi’)”, säädetään seuraavaa:
”1. Rekisteröidyllä on oikeus saada rekisterinpitäjä poistamaan rekisteröityä koskevat henkilötiedot ilman aiheetonta viivytystä, ja rekisterinpitäjällä on velvollisuus poistaa henkilötiedot ilman aiheetonta viivytystä, edellyttäen että jokin seuraavista perusteista täyttyy:
a) henkilötietoja ei enää tarvita niihin tarkoituksiin, joita varten ne kerättiin tai joita varten niitä muutoin käsiteltiin;
b) rekisteröity peruuttaa suostumuksen, johon käsittely on perustunut 6 artiklan 1 kohdan a alakohdan tai 9 artiklan 2 kohdan a alakohdan mukaisesti, eikä käsittelyyn ole muuta laillista perustetta;
c) rekisteröity vastustaa käsittelyä 21 artiklan 1 kohdan nojalla eikä käsittelylle ole olemassa ensisijaista perusteltua syytä tai rekisteröity vastustaa käsittelyä 21 artiklan 2 kohdan nojalla;
d) henkilötietoja on käsitelty lainvastaisesti;
e) henkilötiedot on poistettava unionin oikeuteen tai jäsenvaltion lainsäädäntöön perustuvan rekisterinpitäjään sovellettavan lakisääteisen velvoitteen noudattamiseksi;
f) henkilötiedot on kerätty 8 artiklan 1 kohdassa tarkoitetun tietoyhteiskunnan palvelujen tarjoamisen yhteydessä.
2. Jos rekisterinpitäjä on julkistanut henkilötiedot ja sillä on 1 kohdan mukaisesti velvollisuus poistaa tiedot, sen on käytettävissä oleva teknologia ja toteuttamiskustannukset huomioon ottaen toteutettava kohtuulliset toimenpiteet, muun muassa tekniset toimet, ilmoittaakseen henkilötietoja käsitteleville rekisterinpitäjille, että rekisteröity on pyytänyt kyseisiä rekisterinpitäjiä poistamaan näihin henkilötietoihin liittyvät linkit tai näiden henkilötietojen jäljennökset tai kopiot.
– –”
12 Yleisen tietosuoja-asetuksen 18 artiklan, jonka otsikko on ”Oikeus käsittelyn rajoittamiseen”, 1 kohdassa säädetään seuraavaa:
”Rekisteröidyllä on oikeus siihen, että rekisterinpitäjä rajoittaa käsittelyä, jos kyseessä on yksi seuraavista:
a) rekisteröity kiistää henkilötietojen paikkansapitävyyden, jolloin käsittelyä rajoitetaan ajaksi, jonka kuluessa rekisterinpitäjä voi varmistaa niiden paikkansapitävyyden;
b) käsittely on lainvastaista ja rekisteröity vastustaa henkilötietojen poistamista ja vaatii sen sijaan niiden käytön rajoittamista;
c) rekisterinpitäjä ei enää tarvitse kyseisiä henkilötietoja käsittelyn tarkoituksiin, mutta rekisteröity tarvitsee niitä oikeudellisen vaateen laatimiseksi, esittämiseksi tai puolustamiseksi;
d) rekisteröity on vastustanut henkilötietojen käsittelyä 21 artiklan 1 kohdan nojalla odotettaessa sen todentamista, syrjäyttävätkö rekisterinpitäjän oikeutetut perusteet rekisteröidyn perusteet.
– –”
13 Yleisen tietosuoja-asetuksen 19 artiklassa säädetään seuraavaa:
”Rekisterinpitäjän on ilmoitettava kaikenlaisista 16 artiklan, 17 artiklan 1 kohdan ja 18 artiklan mukaisesti tehdyistä henkilötietojen oikaisuista, poistoista tai käsittelyn rajoituksista jokaiselle vastaanottajalle, jolle henkilötietoja on luovutettu, paitsi jos tämä osoittautuu mahdottomaksi tai vaatii kohtuutonta vaivaa. Rekisterinpitäjän on ilmoitettava rekisteröidylle näistä vastaanottajista, jos rekisteröity sitä pyytää.”
14 Yleisen tietosuoja-asetuksen 21 artiklassa, jonka otsikko on ”Vastustamisoikeus”, säädetään seuraavaa:
”1. Rekisteröidyllä on oikeus henkilökohtaiseen erityiseen tilanteeseensa liittyvällä perusteella milloin tahansa vastustaa häntä koskevien henkilötietojen käsittelyä, joka perustuu 6 artiklan 1 kohdan e tai f alakohtaan, kuten näihin säännöksiin perustuvaa profilointia. Rekisterinpitäjä ei saa enää käsitellä henkilötietoja, paitsi jos rekisterinpitäjä voi osoittaa, että käsittelyyn on olemassa huomattavan tärkeä ja perusteltu syy, joka syrjäyttää rekisteröidyn edut, oikeudet ja vapaudet tai jos se on tarpeen oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi.
2. Jos henkilötietoja käsitellään suoramarkkinointia varten, rekisteröidyllä on oikeus milloin tahansa vastustaa häntä koskevien henkilötietojen käsittelyä tällaista markkinointia varten, mukaan lukien profilointia silloin kun se liittyy tällaiseen suoramarkkinointiin.
3. Jos rekisteröity vastustaa henkilötietojen käsittelyä suoramarkkinointia varten, niitä ei saa enää käsitellä tähän tarkoitukseen.
4. Viimeistään silloin, kun rekisteröityyn ollaan yhteydessä ensimmäisen kerran, 1 ja 2 kohdassa tarkoitettu oikeus on nimenomaisesti saatettava rekisteröidyn tietoon ja esitettävä selkeästi ja muusta tiedotuksesta erillään.
5. Tietoyhteiskunnan palvelujen käyttämisen yhteydessä ja sen estämättä, mitä [henkilötietojen käsittelystä ja yksityisyyden suojasta sähköisen viestinnän alalla 12.7.2002 annetussa Euroopan parlamentin ja neuvoston] direktiivissä 2002/58/EY [(sähköisen viestinnän tietosuojadirektiivi) (EYVL 2002, L 201, s. 37)] määrätään, rekisteröity voi käyttää vastustamisoikeuttaan automaattisesti teknisiä ominaisuuksia hyödyntäen.
6. Jos henkilötietoja käsitellään tieteellisiä tai historiallisia tutkimustarkoituksia tai tilastollisia tarkoituksia varten 89 artiklan 1 kohdan mukaisesti, rekisteröidyllä on oikeus henkilökohtaiseen tilanteeseensa liittyvällä perusteella vastustaa häntä itseään koskevien henkilötietojen käsittelyä, paitsi jos käsittely on tarpeen yleistä etua koskevan tehtävän suorittamiseksi.”
15 Yleisen tietosuoja-asetuksen 79 artiklan, jonka otsikko on ”Oikeus tehokkaisiin oikeussuojakeinoihin rekisterinpitäjää tai henkilötietojen käsittelijää vastaan”, 1 kohdassa säädetään seuraavaa:
”Jokaisella rekisteröidyllä on oikeus tehokkaisiin oikeussuojakeinoihin, jos hän katsoo, että hänen tähän asetukseen perustuvia oikeuksiaan on loukattu sen takia, ettei hänen henkilötietojensa käsittelyssä ole noudatettu tätä asetusta, sanotun kuitenkaan rajoittamatta käytettävissä olevien hallinnollisten muutoksenhakukeinojen tai muiden kuin oikeudellisten oikeussuojakeinojen käyttöä, mukaan lukien 77 artiklaan perustuva oikeus tehdä kantelu valvontaviranomaiselle.”
16 Yleisen tietosuoja-asetuksen 82 artiklan, jonka otsikko on ”Vastuu ja oikeus korvauksen saamiseen”, 1 kohdassa säädetään seuraavaa:
”Jos henkilölle aiheutuu tämän asetuksen rikkomisesta aineellista tai aineetonta vahinkoa, hänellä on oikeus saada rekisterinpitäjältä tai henkilötietojen käsittelijältä korvaus aiheutuneesta vahingosta.”
Pääasia ja ennakkoratkaisukysymys
17 RW kääntyi 15.1.2019 Österreichische Postin puoleen saadakseen yleisen tietosuoja-asetuksen 15 artiklan nojalla oikeuden tutustua häntä koskeviin henkilötietoihin, joita tämä hänestä säilytti tai oli aiemmin säilyttänyt, ja mikäli tietoja oli luovutettu kolmansille, näiden vastaanottajien henkilöllisyyden.
18 Österreichische Post ilmoitti vastauksena tähän pyyntöön ainoastaan käyttävänsä tietoja laissa sallituin rajoituksin omassa toiminnassaan osoitetietojen julkaisijana ja tarjoavansa näitä henkilötietoja liikeasiakkailleen markkinointitarkoituksiin. Lisäksi se viittasi internetsivustoon yksityiskohtaisempien tietojen ja muiden tietojenkäsittelyn tarkoitusten osalta. Se ei ilmoittanut RW:lle tietojen konkreettisten vastaanottajien henkilöllisyyttä.
19 RW nosti Österreichische Postia vastaan kanteen itävaltalaisissa tuomioistuimissa vaatien, että Österreichische Post velvoitetaan toimittamaan hänelle muun muassa tieto siitä, kenelle näitä henkilötietoja on luovutettu.
20 Siten aloitetun tuomioistuinmenettelyn aikana Österreichische Post ilmoitti RW:lle, että hänen henkilötietojaan oli käsitelty markkinointitarkoituksissa ja siirretty sen asiakkaille, joihin kuului mainostajia, jotka toimivat postimyynnissä ja perinteisen kaupan alalla, tietojenkäsittely-yhtiöitä, osoitetietojen julkaisijoita ja järjestöjä, kuten hyväntekeväisyysjärjestöjä, valtiosta riippumattomia järjestöjä (NGO) tai poliittisia puolueita.
21 Ensimmäisen ja toisen asteen tuomioistuin hylkäsivät RW:n kanteen sillä perusteella, että yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan c alakohdassa, siltä osin kuin siinä viitataan ”vastaanottajiin tai vastaanottajaryhmiin”, annetaan rekisterinpitäjälle mahdollisuus ilmoittaa rekisteröidylle vain vastaanottajaryhmät, ilman että sen tarvitsisi nimenomaisesti nimetä niitä konkreettisia vastaanottajia, joille henkilötietoja siirretään.
22 RW teki Revision-valituksen ennakkoratkaisua pyytäneeseen tuomioistuimeen eli Oberster Gerichtshofiin (ylin tuomioistuin, Itävalta).
23 Kyseinen tuomioistuin pohtii yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan c alakohdan tulkintaa siltä osin kuin kyseisen säännöksen sanamuodosta ei käy selkeästi ilmi, myönnetäänkö rekisteröidylle oikeus tutustua tietoihin, jotka koskevat niitä konkreettisia vastaanottajia, joille tietoja on siirretty, vai onko rekisterinpitäjällä harkintavaltaa sen suhteen, millä tavoin se aikoo noudattaa pyyntöä saada tietoja vastaanottajista.
24 Kyseinen tuomioistuin toteaa, että kyseisen säännöksen tarkoitus puoltaa kuitenkin sitä tulkintaa, että rekisteröidyllä on oikeus valita, haluaako hän pyytää tietoja hänen henkilötietojensa vastaanottajaryhmistä tai konkreettisista vastaanottajista. Ennakkoratkaisua pyytäneen tuomioistuimen mukaan päinvastainen tulkinta heikentäisi merkittävästi niiden oikeussuojakeinojen tehokkuutta, jotka rekisteröidyllä on käytettävissään tietojensa suojaamiseksi. Nimittäin siinä tapauksessa, että rekisterinpitäjällä olisi mahdollisuus valita, ilmoittaako se rekisteröidylle konkreettiset vastaanottajat vai ainoastaan vastaanottajaryhmät, on vaarana, että käytännössä tuskin mikään rekisterinpitäjä antaisi tietoja konkreettisista vastaanottajista.
25 Lisäksi se toteaa, että toisin kuin yleisen tietosuoja-asetuksen 13 artiklan 1 kohdan e alakohdassa ja 14 artiklan 1 kohdan e alakohdassa, joissa säädetään rekisterinpitäjän velvollisuudesta antaa niissä tarkoitetut tiedot, kyseisen asetuksen 15 artiklan 1 kohdassa korostetaan rekisteröidyn oikeuden saada tietoja ulottuvuutta, mikä ennakkoratkaisua pyytäneen tuomioistuimen mukaan viittaa myös siihen, että rekisteröidyllä on oikeus valita, pyytääkö hän tietoja konkreettisista vastaanottajista vai vastaanottajaryhmistä.
26 Ennakkoratkaisua pyytänyt tuomioistuin lisää lopuksi, että yleisen tietosuoja-asetuksen 15 artiklan 1 kohdassa säädetty oikeus saada tutustua tietoihin ei koske ainoastaan tällä hetkellä käsiteltäviä henkilötietoja vaan myös aikaisemmin käsiteltyjä tietoja. Se täsmentää tältä osin, että 7.5.2009 annetussa tuomiossa Rijkeboer (C‑553/07, EU:C:2009:293) esitettyjä pohdintoja, jotka perustuvat direktiivissä 95/46 tarkoitetun tiedonsaantioikeuden tarkoitukseen, voidaan soveltaa myös yleisen tietosuoja-asetuksen 15 artiklan mukaiseen tiedonsaantioikeuteen, ja näin on varsinkin, koska yleisen tietosuoja-asetuksen johdanto-osan 9 ja 10 perustelukappaleesta voidaan päätellä, ettei unionin lainsäätäjän tarkoituksena ole ollut alentaa yleisesti suojan tasoa kyseiseen direktiiviin nähden.
27 Tässä tilanteessa Oberster Gerichtshof on päättänyt lykätä asian käsittelyä ja esittää unionin tuomioistuimelle seuraavan ennakkoratkaisukysymyksen:
”Onko [yleisen tietosuoja-asetuksen] 15 artiklan 1 kohdan c alakohtaa tulkittava siten, että rekisteröidyn tiedonsaantioikeus rajoittuu vastaanottajaryhmiin, kun tietojen suunniteltujen luovutusten konkreettiset vastaanottajat eivät vielä ole tiedossa, mutta sen on ehdottomasti koskettava myös tietojen luovutusten vastaanottajia, kun tietoja on jo luovutettu?”
Ennakkoratkaisukysymyksen tarkastelu
28 Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee ennakkoratkaisukysymyksellään lähinnä, onko yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan c alakohtaa tulkittava siten, että tässä säännöksessä säädetty rekisteröidyn oikeus saada tutustua itseään koskeviin henkilötietoihin merkitsee sitä, että kun nämä tiedot on luovutettu tai niitä on tarkoitus luovuttaa vastaanottajille, rekisterinpitäjällä on velvollisuus ilmoittaa rekisteröidylle, keitä nämä vastaanottajat konkreettisesti ovat.
29 Aluksi on muistutettava, että vakiintuneen oikeuskäytännön mukaan unionin oikeussäännön tulkinta edellyttää, että huomioon otetaan paitsi sen sanamuoto myös asiayhteys, johon se kuuluu, sekä sen toimen tavoitteet ja tarkoitus, jonka osa se on (tuomio 15.3.2022, Autorité des marchés financiers, C‑302/20, EU:C:2022:190, 63 kohta). Lisäksi silloin, kun unionin oikeuden säännöstä voidaan tulkita usealla tavalla, etusija on annettava tulkinnalle, jolla voidaan varmistaa säännöksen tehokas vaikutus (tuomio 7.3.2018, Cristal Union, C‑31/17, EU:C:2018:168, 41 kohta oikeuskäytäntöviittauksineen).
30 Yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan c alakohdan sanamuodosta on ensinnäkin muistutettava, että kyseisessä säännöksessä säädetään, että rekisteröidyllä on oikeus saada rekisterinpitäjältä vahvistus siitä, käsitelläänkö häntä koskevia henkilötietoja, ja jos näitä henkilötietoja käsitellään, oikeus saada tutustua henkilötietoihin sekä saada tiedot vastaanottajista tai vastaanottajaryhmistä, joille henkilötietoja on luovutettu tai on tarkoitus luovuttaa.
31 Tältä osin on todettava, että kyseisessä säännöksessä olevia käsitteitä ”vastaanottajat” ja ”vastaanottajaryhmät” käytetään peräkkäin ilman, että olisi mahdollista päätellä niiden välistä etusijajärjestystä.
32 Näin ollen on todettava, että yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan c alakohdan sanamuodon perusteella ei voida määrittää yksiselitteisesti, onko rekisteröidyllä, jota koskevat henkilötiedot on luovutettu tai niitä on tarkoitus luovuttaa, oikeus saada tieto siitä, kuka on konkreettisesti niiden vastaanottaja.
33 Seuraavaksi on todettava siitä asiayhteydestä, johon yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan c alakohta kuuluu, että ensinnäkin kyseisen asetuksen johdanto-osan 63 perustelukappaleessa todetaan, että rekisteröidyllä olisi oltava oikeus tietää ja saada ilmoitus erityisesti henkilötietojen vastaanottajista, eikä siinä täsmennetä, että tätä oikeutta voitaisiin rajoittaa siten, että se koskisi vain vastaanottajaryhmiä, kuten julkisasiamies on todennut ratkaisuehdotuksensa 23 kohdassa.
34 Toiseksi on myös muistutettava, että tiedonsaantioikeuden noudattamiseksi kaikessa luonnollisten henkilöiden henkilötietojen käsittelyssä on noudatettava tietosuoja-asetuksen 5 artiklassa mainittuja periaatteita (ks. vastaavasti tuomio 16.1.2019, Deutsche Post, C‑496/17, EU:C:2019:26, 57 kohta).
35 Näihin periaatteisiin kuuluu yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohdassa tarkoitettu läpinäkyvyyden periaate, joka edellyttää, kuten kyseisen asetuksen johdanto-osan 39 perustelukappaleesta ilmenee, että rekisteröidyllä on tietoja siitä, miten hänen henkilötietojaan käsitellään, ja että nämä tiedot ovat helposti saatavilla ja ymmärrettävissä.
36 Kolmanneksi on todettava, kuten julkisasiamies on korostanut ratkaisuehdotuksensa 21 kohdassa, että – toisin kuin yleisen tietosuoja-asetuksen 13 ja 14 artiklassa, joissa säädetään rekisterinpitäjän velvollisuudesta toimittaa rekisteröidylle tiedot, jotka koskevat häntä koskevien henkilötietojen vastaanottajaryhmiä tai konkreettisia vastaanottajia, kun ne on kerätty tai niitä ei ole kerätty rekisteröidyltä – yleisen tietosuoja-asetuksen 15 artiklassa säädetään rekisteröidyn tosiasiallisesta oikeudesta saada tutustua tietoihin niin, että rekisteröidyllä on mahdollisuus valita, haluaako hän saada tietoja, jotka koskevat, mikäli mahdollista, nimenomaisia vastaanottajia, joille tiedot on luovutettu tai on tarkoitus luovuttaa, vai tietoja, jotka koskevat vastaanottajaryhmiä.
37 Neljänneksi unionin tuomioistuin on jo todennut, että tämän tiedonsaantioikeuden käytön on mahdollistettava se, että rekisteröity voi varmistua paitsi henkilötietojensa paikkansapitävyydestä myös siitä, että niitä käsitellään laillisesti (ks. analogisesti tuomio 17.7.2014, YS ym., C‑141/12 ja C‑372/12, EU:C:2014:2081, 44 kohta ja tuomio 20.12.2017, Nowak, C‑434/16, EU:C:2017:994, 57 kohta) ja erityisesti että niitä on luovutettu sallituille vastaanottajille (ks. analogisesti tuomio 7.5.2009, Rijkeboer, C‑553/07, EU:C:2009:293, 49 kohta).
38 Tämä tiedonsaantioikeus on eritysesti tarpeen, jotta rekisteröity voi tarvittaessa käyttää hänelle yleisen tietosuoja-asetuksen 16, 17 ja 18 artiklalla annettuja oikeuksia tietojen oikaisemiseen, tietojen poistamiseen (”oikeus tulla unohdetuksi”) ja käsittelyn rajoittamiseen (ks. analogisesti tuomio 17.7.2014, YS ym., C‑141/12 ja C‑372/12, EU:C:2014:2081, 44 kohta ja tuomio 20.12.2017, Nowak, C‑434/16, EU:C:2017:994, 57 kohta) samoin kuin yleisen tietosuoja-asetuksen 21 artiklassa säädettyä henkilötietojen käsittelyn vastustamista koskevaa oikeutta sekä kyseisen asetuksen 79 ja 82 artiklassa säädettyjä oikeussuojakeinoja, jos hänelle aiheutuu vahinkoa (ks. analogisesti tuomio 7.5.2009, Rijkeboer, C‑553/07, EU:C:2009:293, 52 kohta).
39 Jotta voitaisiin näin ollen taata kaikkien tämän tuomion edellisessä kohdassa mainittujen oikeuksien tehokas vaikutus, rekisteröidyllä on siis siinä tapauksessa, että hänen henkilötietojaan on jo luovutettu, erityisesti oltava oikeus saada tieto siitä, kuka on konkreettisesti vastaanottaja.
40 Tällaisen tulkinnan vahvistaa viidenneksi ja viimeiseksi yleisen tietosuoja-asetuksen 19 artiklan tulkinta; sen ensimmäisessä virkkeessä säädetään, että rekisterinpitäjän on periaatteessa ilmoitettava kaikista henkilötietojen oikaisuista, poistoista tai käsittelyn rajoituksista jokaiselle tietojen vastaanottajalle, ja sen toisessa virkkeessä säädetään, että rekisterinpitäjän on ilmoitettava rekisteröidylle näistä vastaanottajista, jos rekisteröity sitä pyytää.
41 Ottaen huomioon rekisterinpitäjällä olevan velvollisuuden, jonka mukaan sen on ilmoitettava kaikille tietojen vastaanottajille, kun rekisteröity käyttää hänelle yleisen tietosuoja-asetuksen 16 artiklan, 17 artiklan 1 kohdan ja 18 artiklan nojalla annettuja oikeuksia, kyseisen asetuksen 19 artiklan toisessa virkkeessä annetaan näin rekisteröidylle nimenomaisesti oikeus saada tietoja rekisterinpitäjältä häntä koskevien tietojen konkreettisista vastaanottajista.
42 Edellä esitetystä kontekstuaalisesta arvioinnista seuraa, että yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan c alakohta on yksi niistä säännöksistä, joilla pyritään takaamaan henkilötietojen käsittelyn läpinäkyvyys rekisteröityyn nähden ja sallitaan hänen – kuten julkisasiamies on todennut ratkaisuehdotuksensa 33 kohdassa – käyttää muun muassa yleisen tietosuoja-asetuksen 16–19, 21, 79 ja 82 artiklassa säädettyjä oikeuksia.
43 Näin ollen on katsottava, että rekisteröidylle yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan c alakohdassa säädetyn tiedonsaantioikeuden nojalla toimitettujen tietojen on oltava mahdollisimman tarkkoja. Tämä tiedonsaantioikeus merkitsee erityisesti sitä, että rekisteröidyllä on mahdollisuus saada rekisterinpitäjältä tietoja niistä nimenomaisista vastaanottajista, joille tietoja on luovutettu tai on tarkoitus luovuttaa, tai vaihtoehtoisesti valita pyytää vain vastaanottajaryhmiä koskevia tietoja.
44 Lopuksi on todettava, että yleisellä tietosuoja-asetuksella pyritään, kuten sen johdanto-osan kymmenennestä perustelukappaleesta ilmenee, muun muassa varmistamaan luonnollisten henkilöiden korkeatasoinen suojelu unionissa (tuomio 6.10.2020, La Quadrature du Net ym., C‑511/18, C‑512/18 ja C‑520/18, EU:C:2020:791, 207 kohta). Tältä osin on katsottava, että – kuten julkisasiamies on todennut ratkaisuehdotuksensa 14 kohdassa – yleisellä tietosuoja-asetuksella käyttöön otetuilla yleisillä oikeussäännöillä pannaan täytäntöön vaatimukset, jotka johtuvat perusoikeudesta henkilötietojen suojaan, josta määrätään Euroopan unionin perusoikeuskirjan 8 artiklassa, ja erityisesti vaatimukset, joista nimenomaisesti määrätään kyseisen artiklan 2 kohdassa (ks. vastaavasti tuomio 9.3.2017, Manni, C‑398/15, EU:C:2017:197, 40 kohta).
45 Kyseinen tavoite tukee tämän tuomion 43 kohdassa esitettyä yleisen tietosuoja-asetuksen 15 artiklan tulkintaa.
46 Yleisen tietosuoja-asetuksen tavoitteesta seuraa näin ollen myös, että rekisteröidyllä on oikeus saada rekisterinpitäjältä tietoja niistä konkreettisista vastaanottajista, joille häntä koskevia henkilötietoja on luovutettu tai on tarkoitus luovuttaa.
47 Lopuksi on kuitenkin tärkeää korostaa, että oikeus henkilötietojen suojaan ei ole absoluuttinen, kuten yleisen tietosuoja-asetuksen johdanto-osan 4 perustelukappaleesta ilmenee. Tätä oikeutta on nimittäin tarkasteltava suhteutettuna siihen tehtävään, joka sillä on yhteiskunnassa, ja sen on suhteellisuusperiaatteen mukaisesti oltava oikeassa suhteessa muihin perusoikeuksiin, kuten unionin tuomioistuin on vahvistanut 16.7.2020 annetun tuomion Facebook Ireland ja Schrems 172 kohdassa (C‑311/18, EU:C:2020:559).
48 Erityisissä olosuhteissa voidaan siis hyväksyä, ettei ole mahdollista toimittaa tietoja konkreettisista vastaanottajista. Näin ollen tiedonsaantioikeutta voidaan rajoittaa koskemaan vastaanottajaryhmiä koskevia tietoja, jos on mahdotonta luovuttaa tietoa siitä, ketkä ovat konkreettisesti vastaanottajia, erityisesti koska ne eivät ole vielä tiedossa.
49 Lisäksi on huomautettava, että yleisen tietosuoja-asetuksen 12 artiklan 5 kohdan b alakohdan mukaan rekisterinpitäjä voi kyseisen asetuksen 5 artiklan 2 kohdassa sekä sen johdanto-osan 74 perustelukappaleessa tarkoitetun osoitusvelvollisuuden mukaisesti kieltäytyä suorittamasta pyydettyä toimea, jos rekisteröidyn pyynnöt ovat ilmeisen perusteettomia tai kohtuuttomia, mutta on kuitenkin täsmennettävä, että tällöin rekisterinpitäjän on osoitettava pyynnön ilmeinen perusteettomuus tai kohtuuttomuus.
50 Nyt käsiteltävässä asiassa ennakkoratkaisupyynnöstä ilmenee, että Österreichische Post on hylännyt RW:n yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan nojalla esittämän pyynnön siitä, että tämä toimittaisi hänelle tietoa siitä, ketkä ovat vastaanottajia, joille se on luovuttanut häntä koskevia henkilötietoja. Ennakkoratkaisua pyytäneen tuomioistuimen on tutkittava, onko Österreichische Post pääasiassa kyseessä olevat olosuhteet huomioon ottaen osoittanut, että tämä pyyntö on ilmeisen perusteeton tai kohtuuton.
51 Kaiken edellä esitetyn perusteella ennakkoratkaisukysymykseen on vastattava, että yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan c alakohtaa on tulkittava siten, että tässä säännöksessä säädetty rekisteröidyn oikeus saada tutustua itseään koskeviin henkilötietoihin, kun näitä tietoja on luovutettu tai niitä on tarkoitus luovuttaa vastaanottajille, merkitsee, että rekisterinpitäjällä on velvollisuus toimittaa tälle henkilölle tietoa siitä, ketkä ovat vastaanottajia, ellei näiden vastaanottajien tunnistaminen ole mahdotonta tai ellei kyseinen rekisterinpitäjä osoita, että rekisteröidyn pyyntö tutustua näihin tietoihin on ilmeisen perusteeton tai kohtuuton yleisen tietosuoja-asetuksen 12 artiklan 5 kohdan tarkoittamalla tavalla, jolloin rekisterinpitäjä voi ilmoittaa rekisteröidylle ainoastaan kyseisten tietojen vastaanottajaryhmät.
Oikeudenkäyntikulut
52 Pääasian asianosaisten osalta asian käsittely unionin tuomioistuimessa on välivaihe kansallisessa tuomioistuimessa vireillä olevan asian käsittelyssä, minkä vuoksi kansallisen tuomioistuimen asiana on päättää oikeudenkäyntikulujen korvaamisesta. Oikeudenkäyntikuluja, jotka ovat aiheutuneet muille kuin näille asianosaisille huomautusten esittämisestä unionin tuomioistuimelle, ei voida määrätä korvattaviksi.
Näillä perusteilla unionin tuomioistuin (ensimmäinen jaosto) on ratkaissut asian seuraavasti:
Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) 15 artiklan 1 kohdan c alakohtaa
on tulkittava siten, että
tässä säännöksessä säädetty rekisteröidyn oikeus saada tutustua itseään koskeviin henkilötietoihin, kun näitä tietoja on luovutettu tai niitä on tarkoitus luovuttaa vastaanottajille, merkitsee, että rekisterinpitäjällä on velvollisuus toimittaa tälle henkilölle tietoa siitä, ketkä ovat vastaanottajia, ellei näiden vastaanottajien tunnistaminen ole mahdotonta tai ellei kyseinen rekisterinpitäjä osoita, että rekisteröidyn pyyntö tutustua näihin tietoihin on ilmeisen perusteeton tai kohtuuton asetuksen 2016/679 12 artiklan 5 kohdan tarkoittamalla tavalla, jolloin rekisterinpitäjä voi ilmoittaa rekisteröidylle ainoastaan kyseisten tietojen vastaanottajaryhmät.
Allekirjoitukset