DOMSTOLENS DOM (stora avdelningen)
den 16 december 2008 (*)
”Direktiv 95/46/EG – Tillämpningsområde – Behandling av personliga beskattningsuppgifter och flödet av sådana uppgifter – Skydd av fysiska personer – Yttrandefrihet”
I mål C-73/07,
angående en begäran om förhandsavgörande enligt artikel 234 EG, framställd av Korkein hallinto-oikeus (Finland) genom beslut av den 8 februari 2007, som inkom till domstolen den 12 februari 2007, i målet
Tietosuojavaltuutettu
mot
Satakunnan Markkinapörssi Oy,
Satamedia Oy,
meddelar
DOMSTOLEN (stora avdelningen)
sammansatt av ordföranden V. Skouris, avdelningsordförandena P. Jann, C.W.A. Timmermans, A. Rosas, K. Lenaerts och A. Ó Caoimh samt domarna P. Kūris, E. Juhász, G. Arestis, A. Borg Barthet, J. Klučka, U. Lõhmus och E. Levits (referent),
generaladvokat: J. Kokott,
justitiesekreterare: handläggaren C. Strömholm,
efter det skriftliga förfarandet och förhandlingen den 12 februari 2008,
med beaktande av de yttranden som avgetts av:
– Satakunnan Markkinapörssi Oy och Satamedia Oy, genom P. Vainio, asianajaja,
– Finlands regering, genom J. Heliskoski, i egenskap av ombud,
– Estlands regering, genom L. Uibo, i egenskap av ombud,
– Portugals regering, genom L.I. Fernandes och C. Vieira Guerra, båda i egenskap av ombud,
– Sveriges regering, genom A. Falk och K. Petkovska, båda i egenskap av ombud,
– Europeiska gemenskapernas kommission, genom C. Docksey och P. Aalto, båda i egenskap av ombud,
och efter att den 8 maj 2008 ha hört generaladvokatens förslag till avgörande,
följande
Dom
1 Begäran om förhandsavgörande avser tolkningen av Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, s. 31) (nedan kallat direktivet).
2 Begäran har framställts i ett mål mellan tietosuojavaltuutettu (dataombudsmannen) och tietosuojalautakunta (datasekretessnämnden) med anledning av den behandling av personuppgifter som genomförts av företagen Satakunnan Markkinapörssi Oy (nedan kallat Markkinapörssi) och Satamedia Oy (nedan kallat Satamedia).
Tillämpliga bestämmelser
De gemenskapsrättsliga bestämmelserna
3 Av artikel 1.1 i direktivet framgår att detta avser att skydda fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privatliv, i samband med behandling av personuppgifter.
4 I artikel 1.2 i direktivet föreskrivs följande:
”Medlemsstaterna får varken begränsa eller förbjuda det fria flödet av personuppgifter mellan medlemsstaterna av skäl som har samband med det under punkt 1 föreskrivna skyddet.”
5 I artikel 2 i direktivet, som har rubriken ”Definitioner”, föreskrivs följande:
”I detta direktiv avses med
a) personuppgifter: varje upplysning som avser en identifierad eller identifierbar fysisk person (den registrerade). En identifierbar person är en person som kan identifieras, direkt eller indirekt, framför allt genom hänvisning till ett identifikationsnummer eller till en eller flera faktorer som är specifika för hans fysiska, fysiologiska, psykiska, ekonomiska, kulturella eller sociala identitet,
b) behandling av personuppgifter (behandling): varje åtgärd eller serie av åtgärder som vidtas beträffande personuppgifter, vare sig det sker på automatisk väg eller inte, till exempel insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring,
c) register med personuppgifter (register): varje strukturerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier, oavsett om samlingen är centraliserad, decentraliserad eller spridd på grundval av funktionella eller geografiska förhållanden,
…”
6 I artikel 3 i direktivet definieras dess tillämpningsområde i enlighet med följande:
”1. Detta direktiv gäller för sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg liksom för annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register.
2. Detta direktiv gäller inte för sådan behandling av personuppgifter
– som utgör ett led i en verksamhet som inte omfattas av gemenskapsrätten, exempelvis sådan verksamhet som avses i avdelningarna V och VI i Fördraget om Europeiska unionen, och inte under några omständigheter behandlingar som rör allmän säkerhet, försvar, statens säkerhet (inbegripet statens ekonomiska välstånd när behandlingen har samband med frågor om statens säkerhet) och statens verksamhet på straffrättens område,
– av en fysisk person som ett led i verksamhet av rent privat natur eller som har samband med hans hushåll.”
7 Förhållandet mellan skyddet för personuppgifter och yttrandefriheten regleras på följande sätt i artikel 9 i direktivet, som har rubriken ”Behandling av personuppgifter och yttrandefriheten”:
”Medlemsstaterna skall med avseende på behandling av personuppgifter som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande besluta om undantag och avvikelser från bestämmelserna i detta kapitel, kapitel IV och kapitel VI endast om de är nödvändiga för att förena rätten till privatlivet med reglerna om yttrandefriheten.”
8 Skäl 37 i direktivet har följande lydelse:
”37) För sådan behandling av personuppgifter som sker för journalistiska ändamål eller för konstnärligt eller litterärt skapande – särskilt på det audiovisuella området – bör det fastställas undantag från eller begränsningar i förhållande till vissa bestämmelser i detta direktiv så långt detta är nödvändigt för att förena enskilda personers grundläggande rättigheter med yttrandefriheten, särskilt den rätt att ta emot och lämna upplysningar som särskilt fastslås i artikel 10 i den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna. För att åstadkomma en avvägning mellan de grundläggande fri- och rättigheterna åligger det medlemsstaterna att besluta om nödvändiga undantag och begränsningar såvitt avser de generella åtgärder som har avseende på uppgiftsbehandlingens berättigande, åtgärder för att vidareföra uppgifter till tredje land och tillsynsmyndighetens befogenheter. Detta får dock inte leda till att medlemsstaterna beslutar om undantag från åtgärder som vidtas för att säkerställa behandlingens säkerhet. Den tillsynsmyndighet som är behörig på området bör utrustas med i vart fall vissa befogenheter att utövas efter behandlingen i fråga, exempelvis befogenhet att med jämna mellanrum offentliggöra en rapport eller att överlämna ärenden till rättsliga myndigheter.”
9 I artikel 13 i direktivet, som har rubriken ”Undantag och begränsningar”, föreskrivs följande:
”1. Medlemsstaterna får genom lagstiftning vidta åtgärder för att begränsa omfattningen av de skyldigheter och rättigheter som anges i artiklarna 6.1, 10, 11.1, 12 och 21 i fall då en sådan begränsning är en nödvändig åtgärd med hänsyn till
a) statens säkerhet,
…”
10 I artikel 17 i direktivet, som har rubriken ”Säkerhet vid behandling”, anges följande:
”1. Medlemsstaterna skall föreskriva att den registeransvarige skall genomföra lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifter från förstöring genom olyckshändelse eller otillåtna handlingar eller förlust genom olyckshändelse samt mot ändringar, otillåten spridning av eller otillåten tillgång till uppgifterna, särskilt om behandlingen innefattar överföring av uppgifter i ett nätverk, och mot varje annat slag av otillåten behandling.
Dessa åtgärder skall med beaktande av den nuvarande tekniska nivån och de kostnader som är förenade med åtgärdernas genomförande åstadkomma en lämplig säkerhetsnivå i förhållande till de risker som är förknippade med behandlingen och arten av de uppgifter som skall skyddas.
2. Medlemsstaterna skall föreskriva att den registeransvarige, när behandlingen utförs för dennes räkning, skall välja en registerförare som kan ge tillräckliga garantier vad gäller de tekniska säkerhetsåtgärder och de organisatoriska åtgärder som måste vidtas och tillse att dessa åtgärder genomförs.
…”
Den nationella lagstiftningen
11 I 10 § första stycket i Finlands grundlag (perustuslaki) (731/1999) av den 11 juni 1999, föreskrivs följande:
”Vars och ens privatliv, heder och hemfrid är tryggade. Närmare bestämmelser om skydd för personuppgifter utfärdas genom lag.”
12 I 12 § grundlagen anges följande:
”Var och en har yttrandefrihet. Till yttrandefriheten hör rätten att framföra, sprida och ta emot information, åsikter och andra meddelanden utan att någon i förväg hindrar detta. Närmare bestämmelser om yttrandefriheten utfärdas genom lag. …
Handlingar och upptagningar som innehas av myndigheterna är offentliga, om inte offentligheten av tvingande skäl särskilt har begränsats genom lag. Var och en har rätt att ta del av offentliga handlingar och upptagningar.”
13 Genom personuppgiftslagen (henkilötietolaki) (523/1999) av den 22 april 1999 har direktivet införlivats med finsk rätt. Denna lag är tillämplig på behandling av sådana uppgifter (2 § första stycket) utom personregister som innehåller enbart i massmedier publicerat material som sådant (2 § fjärde stycket). Personuppgiftslagen gäller endast i vissa delar i fråga om behandling av personuppgifter för redaktionella samt konstnärliga eller litterära syften (2 § femte stycket).
14 I 32 § personuppgiftslagen föreskrivs att den registeransvarige ska genomföra de tekniska och organisatoriska åtgärder som behövs för att skydda personuppgifterna mot obehörig åtkomst och mot förstöring, ändring, utlämnande och översändande som sker av misstag eller i strid med lag, eller mot annan olaglig behandling.
15 Allmänhetens tillgång till uppgifter regleras även i lagen om offentlighet i myndigheternas verksamhet (laki viranomaisten toiminnan julkisuudesta) (621/1999) av den 21 maj 1999.
16 Enligt 1 § första stycket lagen om offentlighet i myndigheternas verksamhet är de handlingar som avses i denna lag som huvudregel offentliga.
17 I 9 § lagen om offentlighet i myndigheternas verksamhet föreskrivs att var och en har rätt att ta del av en offentlig myndighetshandling.
18 I 16 § första stycket lagen om offentlighet i myndigheternas verksamhet anges hur en handling ska lämnas ut. I denna bestämmelse föreskrivs att uppgifter kan lämnas ut ur en myndighetshandling muntligen eller genom att handlingen läggs fram för påseende och kopiering eller får avlyssnas hos myndigheten eller genom att en kopia eller en utskrift av den lämnas ut.
19 I 16 § tredje stycket lagen om offentlighet i myndigheternas verksamhet anges under vilka villkor personuppgifter ur en myndighets personregister får lämnas ut.
”Personuppgifter ur en myndighets personregister får, om inte något annat särskilt bestäms i lag, lämnas ut i form av en kopia eller en utskrift eller i elektronisk form om mottagaren enligt bestämmelserna om skydd för personuppgifter har rätt att registrera och använda sådana personuppgifter. För direktmarknadsföring och för opinions- eller marknadsundersökningar får personuppgifter dock lämnas ut endast om det särskilt föreskrivs eller om den registrerade har samtyckt till detta.”
20 Den hänskjutande domstolen har angett att lagen om offentlighet och sekretess i fråga om beskattningsuppgifter (laki verotustietojen julkisuudesta ja salassapidosta) (1346/1999) av den 30 december 1999 har företräde framför personuppgiftslagen och lagen om offentlighet i myndigheternas verksamhet.
21 Enligt 2 § lagen om offentlighet och sekretess i fråga om beskattningsuppgifter ska bestämmelserna i lagen om offentlighet i myndigheternas verksamhet och personuppgiftslagen tillämpas på beskattningshandlingar och beskattningsuppgifter, om inte något annat bestäms i lag.
22 I 3 § lagen om offentlighet och sekretess i fråga om beskattningsuppgifter anges följande:
”Beskattningsuppgifter är offentliga enligt vad som bestäms i denna lag.
Var och en har rätt att ta del av en offentlig beskattningshandling som innehas av skatteförvaltningen enligt vad som bestäms i lagen om offentlighet i myndigheternas verksamhet, om inte något annat följer av denna lag.”
23 Enligt 5 § första stycket lagen om offentlighet och sekretess i fråga om beskattningsuppgifter är den skattskyldiges namn, födelseår och hemkommun offentliga beskattningsuppgifter. Offentliga är dessutom uppgifterna om
”1) den beskattningsbara förvärvsinkomsten vid statsbeskattningen,
2) den beskattningsbara kapitalinkomsten och förmögenheten vid statsbeskattningen,
3) den beskattningsbara inkomsten vid kommunalbeskattningen,
4) inkomst- och förmögenhetsskatten, kommunalskatten samt det sammanlagda beloppet debiterade skatter och avgifter,
…”
24 I kapitel 24 8 § strafflagen (rikoslaki) (i dess lydelse enligt lag 531/2000) föreskrivs slutligen påföljd för spridande av information som kränker privatlivet. Det är således straffbart att genom massmedia eller på annat sätt till ett stort antal människor framföra en uppgift, antydan eller bild som gäller någons privatliv så att gärningen är ägnad att orsaka skada eller lidande för den kränkte eller utsätta honom eller henne för missaktning.
Tvisten vid den nationella domstolen och tolkningsfrågorna
25 Markkinapörssi samlar sedan många år in offentliga uppgifter hos de finländska skattemyndigheterna och ger varje år ut utdrag av dessa uppgifter i regionala utgåvor av tidningen Veropörssi.
26 Uppgifterna i dessa publikationer omfattar namn och förnamn på omkring 1,2 miljoner fysiska personer som har inkomster som överstiger vissa nivåer samt, med en noggrannhet på 100 euro, deras inkomster av kapital och arbete samt uppgifter om deras förmögenhetsskatt. Dessa uppgifter lämnas i en alfabetisk förteckning och är uppdelade efter kommun och inkomstklass.
27 Enligt beslutet om hänskjutande finns i tidningen Veropörssi uppgift om att de angivna personuppgifterna kan dras tillbaka kostnadsfritt på begäran.
28 Denna tidning innehåller visserligen även artiklar, sammanfattningar och annonser, men dess huvudsakliga syfte är att offentliggöra personliga beskattningsuppgifter.
29 Markkinapörssi har i form av cd-romskivor överlåtit personuppgifter som offentliggjorts i Veropörssi till Satamedia, som ägs av samma aktieägare, för att dessa uppgifter ska spridas genom ett SMS‑system. De båda företagen har härvid undertecknat ett avtal med ett mobiltelefonföretag som för Satamedias räkning har upprättat en SMS-tjänst som gör det möjligt för mobiltelefonanvändare att för en kostnad av omkring två euro erhålla de uppgifter som offentliggjorts i Veropörssi på sina mobiltelefoner. Personuppgifterna dras tillbaka på begäran.
30 Dataombudsmannen och datasekretessnämnden, som är de finska myndigheter som ansvarar för uppgiftsskyddet, kontrollerar behandlingen av personuppgifter och har befogenhet att fatta beslut på de villkor som föreskrivs i personuppgiftslagen.
31 Efter klagomål från enskilda som åberopade kränkning av privatlivet, begärde dataombudsmannen, som undersökte Markkinapörssis och Satamedias verksamhet, den 10 mars 2004 att datasekretessnämnden skulle förbjuda dessa företag att fortsätta verksamheten avseende den ifrågavarande behandlingen av personuppgifter.
32 Eftersom datasekretessnämnden avslog denna begäran, väckte dataombudsmannen talan vid Helsingin hallinto-oikeus (Helsingfors förvaltningsdomstol), som ogillade talan. Dataombudsmannen överklagade därvid tingsrättens dom till Korkein hallinto-oikeus (Högsta förvaltningsdomstolen).
33 Den hänskjutande domstolen har betonat att överklagandet från dataombudsmannen inte avser den omständigheten att finska myndigheter har lämnat ut uppgifter. Denna domstol har vidare preciserat att det inte ifrågasatts att de ifrågavarande beskattningsuppgifterna är offentliga. Den hänskjutande domstolen ställer sig däremot tvivlande till den senare behandlingen av dessa uppgifter.
34 Den hänskjutande domstolen beslutade under dessa omständigheter att förklara målet vilande och att ställa följande tolkningsfrågor till domstolen:
”1) Ska som behandling av personuppgifter som avses i artikel 3.1 i [direktivet] betraktas att uppgifter gällande fysiska personers förvärvsinkomster, kapitalinkomster och förmögenhet
a) samlas in från skattemyndigheternas offentliga handlingar och behandlas för publicering,
b) publiceras i ett tryckalster, där uppgifterna står i alfabetisk ordning och grupperade enligt inkomstklass i långa, kommunvis uppgjorda förteckningar,
c) utlämnas vidare på CD-ROM-skiva för kommersiella syften,
d) behandlas i en enhet för SMS-tjänster så, att de som använder mobiltelefon kan sända ett textmeddelande till ett bestämt nummer och, genom att uppge en persons namn och hemkommun som svarsmeddelande till mobiltelefonen, få uppgifter om personens förvärvs- och kapitalinkomster samt förmögenhet?
2) Ska [direktivet] tolkas så, att ovan i styckena 1 a–1 d nämnda funktioner kan betraktas som behandling av personuppgifter uteslutande för journalistiska ändamål som avses i artikel 9 i nämnda direktiv, när hänsyn tas till att de insamlade uppgifterna har samlats om mer än en miljon skattskyldiga, ur uppgifter som med stöd av nationell offentlighetslagstiftning är offentliga, och att det huvudsakliga ändamålet med verksamheten är att publicera ovan nämnda uppgifter?
3) Ska artikel 17 i [direktivet] jämförd med principerna för och ändamålen med direktivet tolkas så, att det inte är förenligt med direktivet att offentliggöra uppgifter som samlats in för journalistiska ändamål och att lämna ut dem för kommersiella syften?
4) Kan [direktivet] tolkas så, att det inte alls blir tillämpligt på personregister som enbart och i oförändrad form innehåller material som har publicerats i massmedierna?”
Prövning av tolkningsfrågorna
Den första frågan
35 Det ska konstateras att de uppgifter som avses i denna fråga och som avser namn och förnamn på vissa fysiska personer som har inkomster som överstiger vissa nivåer samt, med en noggrannhet på 100 euro, bland annat deras inkomster av arbete och kapital, utgör personuppgifter i den mening som avses i artikel 2 a i direktivet, eftersom det är fråga om ”upplysning[ar] som avser en identifierad eller identifierbar fysisk person” (se även dom av den 20 maj 2003 i de förenade målen C-465/00, C-138/01 och C-139/01, Österreichischer Rundfunk, m.fl., REG 2003, s. I-4989, punkt 64).
36 Det är därefter tillräckligt att konstatera att det av lydelsen i artikel 2 b i direktivet tydligt framgår att den verksamhet som avses i denna fråga omfattas av definitionen av behandling av personuppgifter i den mening som avses i denna bestämmelse.
37 Den första frågan ska därför besvaras med att artikel 3.1 i direktivet ska tolkas så, att en verksamhet som består i att uppgifter gällande fysiska personers förvärvsinkomster, kapitalinkomster och förmögenhet
– samlas in från skattemyndigheternas offentliga handlingar och behandlas för publicering,
– publiceras i ett tryckalster, där uppgifterna står i alfabetisk ordning och grupperade enligt inkomstklass i långa, kommunvis uppgjorda förteckningar,
– utlämnas vidare på CD-ROM-skiva för kommersiella syften,
– behandlas i en enhet för SMS-tjänster så, att de som använder mobiltelefon kan sända ett textmeddelande till ett bestämt nummer och, genom att uppge en persons namn och hemkommun som svarsmeddelande till mobiltelefonen, få uppgifter om personens förvärvs- och kapitalinkomster samt förmögenhet,
ska anses utgöra behandling av personuppgifter i den mening som avses i den ovannämnda bestämmelsen.
Den fjärde frågan
38 Den hänskjutande domstolen har ställt den fjärde frågan, som ska behandlas härnäst, för att få klarhet i huruvida direktivet är tillämpligt på sådan behandling av personuppgifter som avses i punkterna c och d i den första frågan och som rör personregister som enbart och i oförändrad form innehåller material som har publicerats i massmedierna.
39 I enlighet med artikel 3.2 i direktivet gäller direktivet inte behandling av personuppgifter i två typfall.
40 Det första typfallet avser behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av gemenskapsrätten, exempelvis sådan verksamhet som avses i avdelningarna V och VI i Fördraget om Europeiska unionen, och avser under alla omständigheter behandlingar som rör allmän säkerhet, försvar, statens säkerhet (inbegripet statens ekonomiska välstånd när behandlingen har samband med frågor om statens säkerhet) och statens verksamhet på straffrättens område.
41 Sådana verksamheter, vilka nämns som exempel i första strecksatsen i artikel 3.2 i direktivet, är i samtliga fall statens eller statliga myndigheters specifika verksamhet och omfattas inte av enskildas verksamhetsområden. Dessa verksamheter är avsedda att definiera omfattningen av det undantag som föreskrivs i denna bestämmelse, varför detta undantag endast är tillämpligt på sådan verksamhet som uttryckligen nämns där eller som kan placeras i samma kategori (ejusdem generis) (se dom av den 6 november 2003 i mål C-101/01, Lindqvist, REG 2003, s. I-12971, punkterna 43 och 44).
42 Behandling av sådana personuppgifter som anges i den första frågan c och d avser emellertid privata företags verksamhet. Denna verksamhet sker inte inom en ram som inrättats av statsmakterna och som avser allmän säkerhet. Sådan verksamhet kan därför inte likställas med den verksamhet som avses i artikel 3.2 i direktivet (se, för ett motsvarande synsätt, dom av den 30 maj 2006 i de förenade målen C‑317/04 och C-318/04, parlamentet mot rådet, REG 2006, s. I-4721, punkt 58).
43 Det andra typfallet anges i andra strecksatsen i artikel 3.2 i direktivet. I skäl 12 i direktivet, som avser detta undantag, nämns korrespondens och förande av adressregister som exempel på en fysisk persons behandling av uppgifter uteslutande för personliga ändamål eller för hemmabruk.
44 Härav följer att detta andra undantag ska tolkas så, att det endast avser verksamhet som utgör en del av enskildas privatliv eller familjeliv (se domen i det ovannämnda målet Lindqvist, punkt 47). Detta är uppenbart inte fallet i fråga om den verksamhet som Markkinapörssi och Satamedia bedriver och som syftar till att ge ett obestämt antal personer kännedom om de insamlade uppgifterna.
45 Domstolen finner därför att sådan behandling av personuppgifter som avses i punkterna c och d i den första frågan inte omfattas av något av de typfall som anges i artikel 3.2 i direktivet.
46 Det finns i övrigt anledning att nämna att inga andra begränsningar av direktivets tillämpningsområde föreskrivs i detta direktiv.
47 Generaladvokaten har i punkt 125 i sitt förslag till avgörande i detta hänseende anfört att enligt artikel 13 i direktivet är undantag från bestämmelserna i detsamma tillåtna endast beträffande vissa av dessa bestämmelser, till vilka artikel 3 i direktivet inte hör.
48 Det ska slutligen anges att ett generellt undantag från tillämpningen av direktivet till förmån för publicerade uppgifter skulle innebära att detta till stor del förlorade sitt innehåll. Det skulle annars nämligen vara tillräckligt att medlemsstaterna publicerade uppgifter för att dessa inte skulle omfattas av det skydd som föreskrivs i direktivet.
49 Den fjärde frågan ska därför besvaras så, att direktivet är tillämpligt på sådan behandling av personuppgifter som avses i punkterna c och d i den första frågan och som rör personregister som enbart och i oförändrad form innehåller material som har publicerats i massmedierna.
Den andra frågan
50 Den hänskjutande domstolen har ställt den andra frågan för att få klarhet i huruvida artikel 9 i direktivet ska tolkas så, att de verksamheter som nämns i punkterna a–d i den första frågan, beträffande uppgifter som härrör från handlingar som enligt den nationella lagstiftningen är offentliga, ska anses utgöra behandling av personuppgifter som sker uteslutande för journalistiska ändamål. Den hänskjutande domstolen har preciserat att den vill vinna klarhet i frågan huruvida den omständigheten att det huvudsakliga syftet med denna verksamhet är att offentliggöra de ifrågavarande uppgifterna är relevant för denna bedömning.
51 Inledningsvis ska påpekas att enligt fast rättspraxis ska bestämmelserna i ett direktiv tolkas mot bakgrund av direktivets syfte och de regler som införs härigenom (se, för ett motsvarande synsätt, dom av den 11 september 2008 i mål C-265/07, Caffaro, REG 2008, s. I‑0000, punkt 14).
52 Det står härvid klart att direktivet, såsom framgår av artikel 1 i detsamma, syftar till att medlemsstaterna, med iakttagande av det fria flödet av personuppgifter, ska skydda fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privatliv, i samband med behandling av sådana uppgifter.
53 Vid eftersträvandet av detta syfte måste emellertid beaktas att dessa grundläggande rättigheter i viss mån ska förenas med den grundläggande yttrandefriheten.
54 Denna avvägning avses i artikel 9 i direktivet. Såsom framgår av bland annat skäl 37 i detsamma, syftar artikel 9 i direktivet till att förena två grundläggande rättigheter, nämligen skyddet för privatlivet och yttrandefriheten, med varandra. Det åligger medlemsstaterna att fullgöra denna uppgift.
55 För att förena dessa båda grundläggande rättigheter med varandra i den mening som avses i direktivet ska medlemsstaterna föreskriva vissa undantag från eller begränsningar i förhållande till skyddet av uppgifter och därmed den grundläggande rätten till privatliv, som föreskrivs i kapitel II, IV och VI i direktivet. Dessa undantag får göras uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande som omfattas av den grundläggande yttrandefriheten, och de får göras endast om de är nödvändiga för att förena rätten till privatliv med reglerna om yttrandefriheten.
56 För att beakta yttrandefrihetens betydelse i demokratiska samhällen ska de begrepp som hör samman med denna, däribland journalistik, tolkas i vid mening. För att göra en balanserad avvägning mellan de två grundläggande rättigheterna fordras, för att skydda den grundläggande rätten till privatliv, vidare att undantag från eller begränsningar i förhållande till det skydd av uppgifter som föreskrivs i de ovannämnda kapitlen i direktivet inte går utöver gränserna för vad som är strikt nödvändigt.
57 I detta sammanhang ska följande omständigheter beaktas.
58 För det första ska, såsom generaladvokaten angav i punkt 65 i sitt förslag till avgörande, och såsom framgår av förarbetena till direktivet, de undantag och avvikelser som föreskrivs i artikel 9 i direktivet inte tillämpas endast på medieföretag, utan på alla personer som är journalistiskt verksamma.
59 Den omständigheten att offentliga uppgifter publiceras i vinstsyfte utesluter för det andra inte a priori att detta kan anses ske ”uteslutande för journalistiska ändamål”. Såsom Markkinapörssi och Satamedia har anfört i sina yttranden och såsom generaladvokaten anförde i punkt 82 i sitt förslag till avgörande, har samtliga företags verksamhet ett vinstsyfte. En viss kommersiell framgång kan till och med utgöra ett oeftergivligt villkor för att professionell journalistisk verksamhet ska bestå.
60 Det ska för det tredje beaktas att kommunikationsmöjligheterna och möjligheterna att sprida uppgifter har utvecklats och flerfaldigats. Såsom bland annat den svenska regeringen har anfört, är inte formen eller mediet för informationsspridningen, antingen den är traditionell, som papper eller radio, eller elektronisk, som Internet, avgörande för om behandlingen ska anses ske ”uteslutande för journalistiska ändamål”.
61 Av vad ovan anförts följer att sådan verksamhet som den som är i fråga i målet vid den nationella domstolen och som avser uppgifter som härrör från handlingar som enligt den nationella lagstiftningen är offentliga, kan anses utgöra journalistisk verksamhet, om den syftar till att sprida information, åsikter eller idéer till allmänheten oberoende av genom vilket medium detta sker. Denna verksamhet är inte förbehållen medieföretag och kan bedrivas i vinstsyfte.
62 Den andra frågan ska således besvaras så, att artikel 9 i direktivet ska tolkas så, att de verksamheter som nämns i punkterna a–d i den första frågan beträffande uppgifter som härrör från handlingar som enligt den nationella lagstiftningen är offentliga ska anses utgöra behandling av personuppgifter som sker uteslutande för journalistiska ändamål i den mening som avses i den ovannämnda bestämmelsen, om denna verksamhet endast syftar till att sprida information, åsikter eller idéer till allmänheten, vilket det ankommer på den nationella domstolen att bedöma.
Den tredje frågan
63 Den hänskjutande domstolen har ställt sin tredje fråga för att få klarhet i huruvida artikel 17 i direktivet ska tolkas så, att den utgör hinder mot att publicera uppgifter som samlats in för journalistiska ändamål och att lämna ut dessa uppgifter i kommersiellt syfte.
64 Med beaktande av svaret på den andra frågan saknas anledning att besvara denna fråga.
Rättegångskostnader
65 Eftersom förfarandet i förhållande till parterna i målet vid den nationella domstolen utgör ett led i beredningen av samma mål, ankommer det på den nationella domstolen att besluta om rättegångskostnaderna. De kostnader för att avge yttrande till domstolen som andra än nämnda parter har haft är inte ersättningsgilla.
Mot denna bakgrund beslutar domstolen (stora avdelningen) följande:
1) Artikel 3.1 i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter ska tolkas så, att en verksamhet som består i att uppgifter gällande fysiska personers förvärvsinkomster, kapitalinkomster och förmögenhet
– samlas in från skattemyndigheternas offentliga handlingar och behandlas för publicering,
– publiceras i ett tryckalster, där uppgifterna står i alfabetisk ordning och grupperade enligt inkomstklass i långa, kommunvis uppgjorda förteckningar,
– utlämnas vidare på CD-ROM-skiva för kommersiella syften,
– behandlas i en enhet för SMS-tjänster så, att de som använder mobiltelefon kan sända ett textmeddelande till ett bestämt nummer och, genom att uppge en persons namn och hemkommun som svarsmeddelande till mobiltelefonen, få uppgifter om personens förvärvs- och kapitalinkomster samt förmögenhet,
ska anses utgöra behandling av personuppgifter i den mening som avses i den ovannämnda bestämmelsen.
2) Artikel 9 i direktiv 95/46 ska tolkas så, att de verksamheter som nämns i punkterna a–d i den första frågan, beträffande uppgifter som härrör från handlingar som enligt den nationella lagstiftningen är offentliga, ska anses utgöra behandling av personuppgifter som sker uteslutande för journalistiska ändamål i den mening som avses i den ovannämnda bestämmelsen, om denna verksamhet endast syftar till att sprida information, åsikter eller idéer till allmänheten, vilket det ankommer på den nationella domstolen att bedöma.
3) Direktiv 95/46 är tillämpligt på sådan behandling av personuppgifter som avses i punkterna c och d i den första frågan och som rör personregister som enbart och i oförändrad form innehåller material som har publicerats i massmedierna.
Underskrifter