JULKISASIAMIEHEN RATKAISUEHDOTUS
GIOVANNI PITRUZZELLA
15 päivänä joulukuuta 2022 (1)
Asia C‑487/21
F.F.,
jossa asian käsittelyyn osallistuvat
Österreichische Datenschutzbehörde ja
CRIF GmbH
(Ennakkoratkaisukysymys – Bundesverwaltungsgericht (liittovaltion hallintotuomioistuin, Itävalta))
Ennakkoratkaisupyyntö – Henkilötietojen suoja – Asetus (EU) 2016/679 – 15 artiklan 3 kohta – Rekisteröidyn oikeus saada tutustua käsiteltäviin henkilötietoihin – Oikeus saada jäljennös henkilötiedoista – Jäljennöksen käsite – Tietojen käsite
1. Mikä on rekisteröidylle, joka saa oikeuden tutustua käsiteltäviin henkilötietoihinsa, luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus)(2) (jäljempänä yleinen tietosuoja-asetus) 15 artiklan 3 kohdassa tunnustetun, jäljennöksen saamista näistä tiedoista koskevan oikeuden sisältö ja ulottuvuus? Mikä on käsitteen ”jäljennös” merkitys ja miten tällainen oikeus saada jäljennös käsiteltävistä henkilötiedoista liittyy saman artiklan 1 kohdassa säädettyyn tiedonsaantioikeuteen?
2. Nämä ovat pääasialliset kysymykset, jotka tulevat esiin tämän ratkaisuehdotuksen kohteena olevassa asiassa, joka koskee Bunsdesverwaltungsgerichtin (liittovaltion hallintotuomioistuin, Itävalta) esittämää ennakkoratkaisupyyntöä ja jonka kohteena on yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan tulkinta.
3. Tämä ennakkoratkaisupyyntö liittyy riita-asiaan, jossa ovat vastakkain F.F. ja Österreichische Datenschutzbehörde (Itävallan tietosuojaviranomainen) ja joka koskee sitä, onko viimeksi mainittu menetellyt lainmukaisesti hylätessään F.F:n vaatimuksen, jonka mukaan luottotietoyritys, joka oli käsitellyt hänen henkilötietojaan, oli velvoitettava toimittamaan kyseisiä henkilötietoja sisältävät asiakirjat ja tietokantaotteet.
4. Nyt käsiteltävä asia antaa unionin tuomioistuimelle tilaisuuden tulkita ensi kertaa yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan säännöstä ja selventää yksityiskohtaisia sääntöjä siitä, miten on käytettävä yleisen tietosuoja-asetuksen 15 artiklassa säädettyä oikeutta saada tutustua omiin käsiteltäviin henkilötietoihin.
I Asiaa koskeva lainsäädäntö
5. Yleisen tietosuoja-asetuksen johdanto-osan 63 perustelukappaleen sanamuoto on seuraava:
”Rekisteröidyllä olisi oltava oikeus saada pääsy henkilötietoihin, joita hänestä on kerätty, sekä mahdollisuus käyttää tätä oikeutta vaivattomasti ja kohtuullisin väliajoin, jotta hän voi pysyä perillä käsittelyn lainmukaisuudesta ja tarkistaa sen. Tähän sisältyy rekisteröidyn oikeus saada pääsy omiin terveystietoihinsa, kuten terveystiedostoihin, joihin on koottu esimerkiksi diagnoosit, tutkimustulokset, hoitavien lääkärien arviot ja muut hoitoa tai muita toimenpiteitä koskevat tiedot. Kaikilla rekisteröidyillä olisi sen vuoksi oltava oikeus tietää ja saada ilmoitus erityisesti henkilötietojen käsittelyn tarkoituksista, ja jos mahdollista, käsittelyajasta, henkilötietojen vastaanottajista, käsiteltävien henkilötietojen automaattisen käsittelyn logiikasta sekä kyseisen käsittelyn mahdollisista seurauksista, ainakin jos käsittely perustuu profilointiin. Mikäli mahdollista, rekisterinpitäjän olisi voitava tarjota etäpääsy suojattuun järjestelmään, jossa rekisteröity saa suoran pääsyn henkilötietoihinsa. Tämä oikeus ei saisi vaikuttaa epäedullisesti muiden oikeuksiin ja vapauksiin, joita ovat esimerkiksi liikesalaisuudet tai teollis- ja tekijänoikeudet ja erityisesti ohjelmistoja suojaavat tekijänoikeudet. Näiden seikkojen huomioon ottaminen ei kuitenkaan saisi johtaa siihen, että rekisteröidylle ei anneta minkäänlaista tietoa. – –”
6. Yleisen tietosuoja-asetuksen 4 artiklan 1 ja 2 alakohdassa säädetään seuraavaa:
”Tässä asetuksessa tarkoitetaan
1) ’henkilötiedoilla’ kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön, jäljempänä ’rekisteröity’, liittyviä tietoja; tunnistettavissa olevana pidetään luonnollista henkilöä, joka voidaan suoraan tai epäsuorasti tunnistaa erityisesti tunnistetietojen, kuten nimen, henkilötunnuksen, sijaintitiedon, verkkotunnistetietojen taikka yhden tai useamman hänelle tunnusomaisen fyysisen, fysiologisen, geneettisen, psyykkisen, taloudellisen, kulttuurillisen tai sosiaalisen tekijän perusteella,
2) ’käsittelyllä’ toimintoa tai toimintoja, joita kohdistetaan henkilötietoihin tai henkilötietoja sisältäviin tietojoukkoihin joko automaattista tietojenkäsittelyä käyttäen tai manuaalisesti, kuten tietojen keräämistä, tallentamista, järjestämistä, jäsentämistä, säilyttämistä, muokkaamista tai muuttamista, hakua, kyselyä, käyttöä, tietojen luovuttamista siirtämällä, levittämällä tai asettamalla ne muutoin saataville, tietojen yhteensovittamista tai yhdistämistä, rajoittamista, poistamista tai tuhoamista”.
7. Yleisen tietosuoja-asetuksen 12 artiklan 1 kohdassa, jonka otsikkona on ”Läpinäkyvä informointi, viestintä ja yksityiskohtaiset säännöt rekisteröidyn oikeuksien käyttöä varten”, säädetään seuraavaa:
”Rekisterinpitäjän on toteutettava asianmukaiset toimenpiteet toimittaakseen rekisteröidylle 13 ja 14 artiklan mukaiset tiedot ja 15–22 artiklan ja 34 artiklan mukaiset kaikki käsittelyä koskevat tiedot tiiviisti esitetyssä, läpinäkyvässä, helposti ymmärrettävässä ja saatavilla olevassa muodossa selkeällä ja yksinkertaisella kielellä varsinkin silloin, kun tiedot on tarkoitettu erityisesti lapselle. Tiedot on toimitettava kirjallisesti tai muulla tavoin ja tapauksen mukaan sähköisessä muodossa. Jos rekisteröity sitä pyytää, tiedot voidaan antaa suullisesti edellyttäen, että rekisteröidyn henkilöllisyys on vahvistettu muulla tavoin.”
8. Yleisen tietosuoja-asetuksen 15 artiklan otsikkona on ”Rekisteröidyn oikeus saada tutustua tietoihin”, ja siinä säädetään seuraavaa:
”1. Rekisteröidyllä on oikeus saada rekisterinpitäjältä vahvistus siitä, käsitelläänkö häntä koskevia henkilötietoja, ja jos näitä henkilötietoja käsitellään, oikeus saada tutustua henkilötietoihin sekä saada seuraavat tiedot:
a) käsittelyn tarkoitukset;
b) kyseessä olevat henkilötietoryhmät;
c) vastaanottajat tai vastaanottajaryhmät, erityisesti kolmansissa maissa olevat vastaanottajat tai kansainväliset järjestöt, joille henkilötietoja on luovutettu tai on tarkoitus luovuttaa;
d) mahdollisuuksien mukaan henkilötietojen suunniteltu säilytysaika tai jos se ei ole mahdollista, tämän ajan määrittämiskriteerit;
e) rekisteröidyn oikeus pyytää rekisterinpitäjältä häntä itseään koskevien henkilötietojen oikaisemista tai poistamista taikka henkilötietojen käsittelyn rajoittamista tai vastustaa tällaista käsittelyä;
f) oikeus tehdä valitus [oikeammin: kantelu] valvontaviranomaiselle;
g) jos henkilötietoja ei kerätä rekisteröidyltä, kaikki saatavilla olevat tiedot tietojen alkuperästä;
h) jäljempänä 22 artiklan 1 ja 4 kohdassa tarkoitetun automaattisen päätöksenteon, mukaan lukien profiloinnin olemassaolo, sekä ainakin näissä tapauksissa merkitykselliset tiedot käsittelyyn liittyvästä logiikasta samoin kuin kyseisen käsittelyn merkittävyys ja mahdolliset seuraukset rekisteröidylle.
– –
3. Rekisterinpitäjän on toimitettava jäljennös käsiteltävistä henkilötiedoista. Jos rekisteröity pyytää useampia jäljennöksiä, rekisterinpitäjä voi periä niistä hallinnollisiin kustannuksiin perustuvan kohtuullisen maksun. Jos rekisteröity esittää pyynnön sähköisesti, tiedot on toimitettava yleisesti käytetyssä sähköisessä muodossa, paitsi jos rekisteröity toisin pyytää.
4. Oikeus saada 3 kohdassa tarkoitettu jäljennös ei saa vaikuttaa haitallisesti muiden oikeuksiin ja vapauksiin.”
II Tosiseikat, pääasian käsittelyn vaiheet ja ennakkoratkaisukysymykset
9. CRIF GmbH on luottotietoyritys, joka toimittaa asiakkaidensa pyynnöstä tietoja kolmansien osapuolten vakavaraisuudesta. Tässä tarkoituksessa se käsitteli ennakkoratkaisua pyytäneessä tuomioistuimessa vireillä olevassa pääasiassa valittajana olevan henkilön henkilötietoja.
10. Viimeksi mainittu kääntyi 20.12.2018 kyseisen yrityksen puoleen saadakseen muun muassa tietoja käsiteltävistä henkilötiedoistaan yleisen tietosuoja-asetuksen 15 artiklan nojalla ja pyysi erityisesti jäljennöstä näistä tiedoista yleisesti käytetyssä teknisessä muodossa.
11. Yritys toimitti tämän pyynnön perusteella osan pyydetyistä tiedoista koosteena, jossa se toisti ennakkoratkaisua pyytäneessä tuomioistuimessa valittajana olevan henkilön tallennetut henkilötiedot yhtäältä nimen, syntymäajan, katuosoitteen, postinumeron ja postitoimipaikan mukaan luetteloidussa taulukossa ja toisaalta yhteenvedossa, joka koski yrityksen tehtäviä ja edustusvaltuuksia. Muita asiakirjoja, kuten sähköpostiviestejä tai tietokantaotteita, ei sitä vastoin toimitettu.
12. Ennakkoratkaisua pyytäneessä tuomioistuimessa valittajana oleva henkilö teki 16.1.2019 Österreichische Datenschutzbehördelle (Itävallan tietosuojaviranomainen) kantelun sillä perusteella, että hänen tietopyyntöönsä annettu vastaus oli puutteellinen, ja vetosi erityisesti siihen, että rekisterinpitäjän olisi pitänyt toimittaa hänelle jäljennös kaikista asiakirjoista, mukaan lukien sähköpostiviestit ja tietokantaotteet, jotka sisältävät hänen henkilötietonsa.
13. Edellä mainittu viranomainen hylkäsi kantelun 11.9.2019 tekemällään päätöksellä, sillä se katsoi, että rekisterinpitäjä ei ollut loukannut millään tavoin valittajan oikeutta saada tutustua henkilötietoihinsa.
14. Ennakkoratkaisua pyytänyt tuomioistuin, jonka käsiteltävänä on kyseisestä päätöksestä tehty valitus, on epävarma siitä, miten laaja on yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan ensimmäisessä alakohdassa taattu rekisteröidyn oikeus saada jäljennös käsiteltävistä henkilötiedoista.
15. Tämän tuomioistuimen on tehtävä päätös siitä, onko siinä vireillä olevassa asiassa valittajana olevan henkilön henkilötietojen toimittaminen luottotietoyrityksen tietopyyntöön antamaan vastaukseen sisältyvien taulukon ja yhteenvedon muodossa yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan vaatimusten mukaista vai onko siinä vireillä olevassa asiassa valittajana olevalla henkilöllä tämän säännöksen nojalla oikeus saada jäljennös omista käsiteltävistä henkilötiedoistaan muulla tavoin kuin asiayhteydestään irrotettuna eli siten, että toimitetaan jäljennös tai otteita mahdollisesta kirjeenvaihdosta taikka tietokantojen tai vastaavien asiakirjojen sisällöstä.
16. Kyseinen tuomioistuin pyytää tässä asiayhteydessä ensinnäkin selvennystä siihen, mikä on yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan ensimmäisessä virkkeessä mainitun käsiteltävien henkilötietojen ”jäljennöksen” käsitteen täsmällinen merkitys.
17. Kyseinen tuomioistuin tiedustelee toiseksi, täsmennetäänkö yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan säännöksellä saman artiklan 1 kohdassa tarkoitettua yleistä tiedonsaantioikeutta, kun siinä vahvistetaan tapa, jolla rekisteröidyn on saatava oikeus saada tutustua omiin käsiteltäviin henkilötietoihinsa, vai mennäänkö kyseisellä säännöksellä pidemmälle kuin edellä mainitulla 1 kohdassa tarkoitetulla tiedonsaantioikeudella ja säädetäänkö siinä varsinaisesta erillisestä oikeudesta saada jäljennöksiä, alkuperäistä vastaavia toisintoja, taulukoita tai sähköisiä otteita tietokannoista taikka jäljennöksiä asiakirjoista ja asiakirjakansioista kokonaisuudessaan, jos ne sisältävät rekisteröidyn henkilötietoja.
18. Kolmanneksi, jos yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan ensimmäistä virkettä tulkitaan suppeasti eli siten, että ”jäljennöksen” käsite ei edellytä sitä, että rekisteröidyllä olisi oikeus valokopioiden, asiakirjojen tai tietokantaotteiden saamiseen, tuomioistuin tiedustelee, onko kuitenkin niin, että kun otetaan huomioon mahdolliset eriluonteiset tiedot, jotka voivat olla käsiteltävänä, ja yleisen tietosuoja-asetuksen 12 artiklan 1 kohdan mukainen läpinäkyvyysperiaate, ei voisi olla mahdollista, että tietyissä tapauksissa käsiteltävien tietojen luonteen mukaan rekisterinpitäjällä voisi kuitenkin olla velvollisuus toimittaa kappaleita tekstistä tai asiakirjojen jäljennöksiä.
19. Neljänneksi ja lopuksi ennakkoratkaisua pyytänyt tuomioistuin tiedustelee, koskeeko yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan kolmannen virkkeen käsite ”tiedot” ainoastaan kyseisen säännöksen ensimmäisessä virkkeessä mainittuja ”käsiteltäviä henkilötietoja”, vai mennäänkö siinä tätä pidemmälle, eli sisältääkö se myös yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan a–h alakohdassa tarkoitetut tiedot, tai vieläkin pidemmälle, jolloin se sisältäisi myös esimerkiksi tietoihin liittyvät metatiedot.
20. Tässä asiayhteydessä Bundesverwaltungsgericht (liittovaltion hallintotuomioistuin, Itävalta) on päättänyt lykätä asian käsittelyä ja esittää unionin tuomioistuimelle seuraavat ennakkoratkaisukysymykset:
”1) Onko [yleisen tietosuoja-asetuksen] 15 artiklan 3 kohdassa olevaa käsitettä ’jäljennös’ tulkittava siten, että sillä tarkoitetaan valokopiota tai alkuperäistä vastaavaa toisintoa tai (sähköisen) tiedoston sähköistä jäljennöstä, vai onko tätä käsitettä tulkittava saksalaisten, ranskalaisten ja englantilaisten sanakirjojen perusteella niin, että siihen kuuluu myös ’Abschrift’, ’double’ (’duplicata’) tai ’transcript’?
2) Onko yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan ensimmäistä virkettä, jonka mukaan ’rekisterinpitäjän on toimitettava jäljennös käsiteltävistä henkilötiedoista’, tulkittava siten, että sillä tarkoitetaan rekisteröidyllä olevaa yleistä oikeutta saada jäljennös – myös – kokonaisista asiakirjoista, joissa rekisteröidyn henkilötietoja käsitellään, tai, jos henkilötietoja käsitellään tietokannassa, yleistä oikeutta saada jäljennös tietokantaotteesta, vai tarkoitetaanko tällä – ainoastaan – rekisteröidyn oikeutta saada alkuperäistä vastaava toisinto henkilötiedoista, joihin hänellä on oikeus saada tutustua yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan mukaan?
3) Jos toiseen kysymykseen vastataan siten, että rekisteröidyllä on ainoastaan oikeus saada alkuperäistä vastaava toisinto henkilötiedoista, joihin hänellä on oikeus saada tutustua yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan mukaan, onko yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan ensimmäistä virkettä tulkittava siten, että käsiteltävien tietojen luonteesta [esimerkiksi yleisen tietosuoja-asetuksen johdanto-osan perustelukappaleessa 63 mainitut diagnoosit, tutkimustulokset tai arviot tai myös unionin tuomioistuimen (tuomiossa Nowak(3)) tarkoitettuun kokeeseen liittyvä aineisto] riippuen ja yleisen tietosuoja-asetuksen 12 artiklan 1 kohdassa vahvistetun läpinäkyvyyden periaatteen vuoksi voi yksittäistapauksessa kuitenkin olla tarpeen, että rekisteröidylle toimitetaan myös katkelmia tekstistä tai kokonaisia asiakirjoja?
4) Onko käsitettä ’tiedot’, jotka yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan kolmannen virkkeen mukaan on silloin, kun rekisteröity esittää pyynnön sähköisesti, toimitettava hänelle ’yleisesti käytetyssä sähköisessä muodossa, paitsi jos rekisteröity toisin pyytää’, tulkittava siten, että sillä tarkoitetaan ainoastaan 15 artiklan 3 kohdan ensimmäisessä virkkeessä mainittuja ’käsiteltäviä henkilötietoja’?
a) Jos neljänteen kysymykseen vastataan kieltävästi: Onko käsitettä ’tiedot’, jotka yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan kolmannen virkkeen mukaan on silloin, kun rekisteröity esittää pyynnön sähköisesti, toimitettava hänelle ’yleisesti käytetyssä sähköisessä muodossa, paitsi jos rekisteröity toisin pyytää’, tulkittava siten, että sillä tarkoitetaan lisäksi myös yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan a–h alakohdassa mainittuja tietoja?
b) Jos myös neljännen kysymyksen a kohtaan vastataan kieltävästi: Onko käsitettä ’tiedot’, jotka yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan kolmannen virkkeen mukaan on silloin, kun rekisteröity esittää pyynnön sähköisesti, toimitettava hänelle ’yleisesti käytetyssä sähköisessä muodossa, paitsi jos rekisteröity toisin pyytää’, tulkittava siten, että sillä tarkoitetaan ’käsiteltävien henkilötietojen’ ja yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan a–h alakohdassa mainittujen tietojen lisäksi esimerkiksi niihin liittyviä metatietoja?”
III Oikeudellinen arviointi
A Ensimmäinen, toinen ja kolmas ennakkoratkaisukysymys
21. Ennakkoratkaisua pyytänyt tuomioistuin esittää kolmella ensimmäisellä ennakkoratkaisukysymyksellään, jotka on mielestäni käsiteltävä yhdessä, kolme kysymystä, joilla pyritään määrittämään yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan ensimmäisen virkkeen täsmällinen merkitys, kun sen mukaan ”rekisterinpitäjän on toimitettava jäljennös käsiteltävistä henkilötiedoista”.
22. Ensimmäisellä kysymyksellä pyritään määrittämään kyseiseen säännökseen sisältyvän ”jäljennöksen” käsitteen täsmällinen merkitys. Toisella kysymyksellä pyritään selventämään kyseisellä säännöksellä rekisteröidylle myönnetyn oikeuden laajuutta. Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee erityisesti, annetaanko tällä säännöksellä oikeus saada jäljennös myös asiakirjoista – tai tietokantaotteista – joissa henkilötietoja käsitellään, vai annetaanko siinä vain oikeus saada alkuperäistä vastaava jäljennös käsiteltävistä henkilötiedoista. Viimeksi mainitussa tapauksessa kolmannella kysymyksellä pyritään selvittämään, voiko käsiteltävien tietojen laadun mukaan ja läpinäkyvyysperiaatteen perusteella kuitenkin olla joissain tapauksissa tarpeen toimittaa myös katkelmia teksteistä tai kokonaisia asiakirjoja.
23. Ennakkoratkaisun esittämisestä tehdystä välipäätöksestä ilmenee, että yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan ensimmäisen virkkeen säännöksen ulottuvuus on riidanalainen seikka sekä oikeuskirjallisuudessa että kansallisten tuomioistuinten oikeuskäytännössä ainakin Itävallassa ja Saksassa.(4) Tästä päätöksestä ilmenee, että kaksi teoriaa ovat tässä yhteydessä ristiriidassa keskenään: yhtäältä riidanalaisen säännöksen suppea tulkinta, jonka mukaan siinä ainoastaan täsmennetään oikeutta tutustua tietoihin koskevia yksityiskohtaisia sääntöjä eikä se sisällä erillistä oikeutta saada asiakirjoja tai vastaavia, ja toisaalta laaja tulkinta, jonka mukaan tällä säännöksellä päinvastoin annetaan oikeus saada jäljennös asiakirjoista tai muista alustoista, joilla henkilötietoja käsitellään. Mikäli viimeksi mainittu tulkinta hyväksytään, oikeus saada jäljennös asiakirjoista muodostaisi yleisen tietosuoja-asetuksen 15 artiklan 1 kohdassa taatusta oikeudesta tutustua tietoihin erillisen oikeuden. Riidanalaisen säännöksen ulottuvuuden ristiriitaisuuden vahvistaa se, että myös osapuolet, jotka ovat esittäneet huomautuksia unionin tuomioistuimessa, ovat esittäneet tästä erilaisia näkemyksiä.(5)
24. Jotta tässä yhteydessä voidaan vastata ennakkoratkaisua pyytäneen tuomioistuimen esittämiin kolmeen ensimmäiseen kysymykseen, on tulkittava yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan ensimmäisen virkkeen säännöstä.
25. Tässä yhteydessä on muistutettava vakiintuneesta oikeuskäytännöstä, josta ilmenee, että unionin oikeuden säännöksen tai määräyksen tulkitsemisessa on otettava huomioon paitsi sen sanamuoto myös sen asiayhteys ja sillä säännöstöllä tavoitellut päämäärät, jonka osa se on.(6)
26. Koska lisäksi yleisen tietosuoja-asetuksen säännöksissä säädetään sellaisten henkilötietojen käsittelystä, joista voi aiheutua vahinkoa perusvapauksille ja erityisesti yksityiselämän kunnioittamista koskevalle oikeudelle, niitä on välttämättä tulkittava perusoikeuskirjassa taattujen perusoikeuksien valossa.(7)
1. Sanamuodon tarkastelu
27. Aluksi on korostettava yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan ensimmäisen alakohdan sanamuodosta, että siinä annetaan rekisteröidylle oikeus saada rekisterinpitäjältä ”jäljennös käsiteltävistä henkilötiedoista”. Sanamuodon näkökulmasta tässä muotoilussa viitataan kolmeen erilliseen käsitteeseen: ”jäljennöksen” käsitteeseen, ”henkilötietojen” käsitteeseen ja ”käsiteltävien” tietojen käsitteeseen.
28. Tässä yhteydessä on ensinnäkin korostettava ”jäljennöksen” käsitteestä, jonka ulottuvuus on erityisesti ensimmäisen ennakkoratkaisukysymyksen kohteena, että kuten eri osapuolet, jotka ovat esittäneet huomautuksia unionin tuomioistuimelle, ovat huomauttaneet, yleiseen tietosuoja-asetukseen ei sisälly tämän käsitteen erityistä määritelmää.
29. Tässä yhteydessä vakiintuneesta oikeuskäytännöstä seuraa, että sellaisten ilmaisujen merkitys ja ulottuvuus, joita ei ole määritelty unionin oikeudessa, on määritettävä sen tavanomaisen merkityksen mukaan, joka niillä on yleiskielessä, ottaen samalla huomioon asiayhteys, jossa niitä käytetään, ja sen lainsäädännön tavoitteet, johon ne kuuluvat.(8)
30. Puhtaasti terminologisesta näkökulmasta puhekielessä käsitteellä jäljennös tarkoitetaan alkuperäistä vastaavaa toisintoa tai transkriptiota.(9) Lisäksi yleisen tietosuoja-asetuksen eri kieliversioiden tarkastelu osoittaa, että suurimmassa osassa unionin muista kieliversioista käytetään ilmaisua, joka vastaa italian kielen ilmaisua ”copia”, kuten esimerkiksi ”copy” englannin kielellä, ”Kopie” saksan kielellä, ”copie” ranskan kielellä tai ”copia” espanjan kielellä.(10)
31. Riidanalaisella säännöksellä selvennetään lisäksi, että jäljennös, jonka rekisterinpitäjä on velvollinen toimittamaan rekisteröidylle, on jäljennös käsiteltävistä ”henkilötiedoista”.
32. Tässä yhteydessä on toiseksi korostettava, että toisin kuin käsitteen ”jäljennös” osalta, yleinen tietosuoja-asetus sisältää nimenomaisen määritelmän tämän asetuksen 4 artiklan 1 alakohdan ”henkilötietojen” käsitteestä, kun sen mukaan henkilötiedoilla tarkoitetaan ”kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön” liittyviä tietoja.
33. Tähän määritelmään perustuvan ”henkilötietojen” käsitteen ulottuvuus on hyvin laaja. Kuten unionin tuomioistuimen oikeuskäytännöstä näet ilmenee, ilmaisun ”kaikki tiedot” käyttäminen tämän määritelmän yhteydessä kuvastaa unionin lainsäätäjän tavoitetta antaa tälle käsitteelle laaja tulkinta.(11)
34. Oikeuskäytännöstä ilmenee, että henkilötietojen käsite ei ole rajattu arkaluonteisiin tai yksityisiin tietoihin, vaan se voi kattaa kaikenlaiset tiedot, sekä objektiiviset että subjektiiviset tiedot, jotka ilmaistaan mielipiteen tai arvion muodossa, edellyttäen, että ne ”koskevat” kyseessä olevaa henkilöä. Viimeksi mainittu edellytys täyttyy, kun tieto liittyy tiettyyn henkilöön sisältönsä, tarkoituksensa tai vaikutuksensa vuoksi.(12)
35. Henkilötietojen käsitteen laaja tulkinta on lisäksi välttämätön, kun otetaan huomioon se, miten laajasti henkilötiedot voivat vaihdella laadultaan ja muodoltaan, ja se, että ne voivat olla suojelun arvoisia, ja kun otetaan huomioon myös erilaiset alustat, joihin tällaiset tiedot voivat sisältyä.
36. Oikeuskäytännön tarkastelu osoittaa unionin tuomioistuimen katsoneen, että yleisen tietosuoja-asetuksen 4 artiklan 1 alakohdan mukaiseen ”henkilötietojen” käsitteeseen kuuluu eri laatuisia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön liittyviä tietoja. Niiden tietojen lisäksi, jotka komissio on huomautuksissaan määritellyt ”tavanomaisiksi tiedoiksi”, eli tiedot, jotka liittyvät henkilön yleistietoihin, kuten nimi ja sukunimi,(13) syntymäaika, kansalaisuus, sukupuoli, etninen alkuperä, uskonto ja kieli ja jotka koskevat henkilöä, joka on tunnistettavissa hänen nimensä perusteella,(14) unionin tuomioistuin on katsonut, että henkilötietojen käsitteen soveltamisalaan kuuluu muunlaisia tietoja, kuten esimerkiksi myynnissä olevaa ajoneuvoa koskevat tiedot sekä tämän ajoneuvon myyjän puhelinnumero,(15) tai työaikarekisteriin sisältyvät tiedot, jotka koskevat kunkin työntekijän päivittäisiä työaikoja ja lepojaksoja,(16) kameran tallentama henkilön kuva, jos rekisteröity voidaan tunnistaa sen avulla,(17) hakijan ammatilliseen kokeeseen antamat kirjalliset vastaukset ja tarkastajan niihin tekemät merkinnät(18) tai myös yksilöityyn luonnolliseen henkilöön liittyvät liikennerikkomuspisteet.(19)
37. Henkilötietojen käsitteen laaja tulkinta, joka perustuu oikeuskäytännössä tunnustettuun yleisen tietosuoja-asetuksen 4 artiklan 1 alakohdan määritelmään ja liittyy yleisen tietosuoja-asetuksen tavoitteeseen varmistaa luonnollisten henkilöiden suojelun korkea taso henkilötietojen käsittelyn osalta,(20) merkitsee sitä, että tämä käsite ja siten oikeus saada tutustua näihin tietoihin ja saada niistä jäljennös ei rajoitu yksinomaan tietoihin, joita rekisterinpitäjä on hankkinut, säilyttänyt ja käsitellyt, vaan siihen on sisällyttävä myös muut tiedot, joita tämä oikeussubjekti on mahdollisesti tuottanut käsittelyn seurauksena, jos myös ne ovat käsiteltävänä.
38. Jos useiden henkilötietojen käsittelyn seurauksena tuotetaan tunnistetusta tai tunnistettavissa olevasta henkilöstä tähän käsittelyyn perustuvia uusia tietoja, jotka voidaan luokitella yleisen tietosuoja-ajatuksen 4 artiklan 1 alakohdassa tarkoitetuiksi henkilötiedoiksi, yleisen tietosuoja-asetuksen 15 artiklan 1 kohdassa ja 3 kohdan ensimmäisessä virkkeessä tarkoitetun oikeuden saada tutustua henkilötietoihin ja saada niistä jäljennös on näin ollen mielestäni sisällettävä myös tällaiset tuotetut tiedot, jos tällaisia tietoja käsitellään. Oikeus saada tutustua tietoihin ja saada niistä jäljennös sisältää näet kaikki rekisteröidyn henkilötiedot, joita käsitellään.
39. Näillä seikoilla on merkitystä ennakkoratkaisua pyytäneessä tuomioistuimessa vireillä olevan kaltaisen tapauksen yhteydessä, kun siinä eri lähteistä kerättyjen tietojen perusteella vaikuttaa siltä, että luottotietoyhtiö on laatinut suosituksen, joka koski rekisteröidyn vakavaraisuutta ja maksuvalmiutta useisiin tekijöihin liittyvän tilastollisen todennäköisyyden perusteella. Tällainen suositus on mielestäni tunnistettua henkilöä koskevaa tietoa, joka kuuluu siten yleisen tietosuoja-asetuksen 4 artiklan 1 alakohdassa tarkoitettujen ”henkilötietojen” laajan tulkinnan piiriin ja siten lisäksi yleisen tietosuoja-asetuksen 15 artiklan 1 kohdassa ja 3 kohdan ensimmäisessä virkkeessä tarkoitetun tietoihin tutustumista koskevan oikeuden soveltamisalaan.(21)
40. Kolmanneksi yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan ensimmäiseen virkkeeseen sisältyvästä ilmaisusta ”käsiteltävistä” on todettava, että myös ”käsittelyn” käsite määritellään nimenomaisesti yleisen tietosuoja-asetuksen 4 artiklan 2 alakohdassa.
41. Tämän säännöksen mukaan kyseisessä asetuksessa tarkoitetaan ”käsittelyllä” henkilötietojen keräämistä, hakua, luovuttamista siirtämällä ja asettamalla ne muutoin saataville. Oikeuskäytännön mukaan kyseisen säännöksen sanamuodosta ja erityisesti ilmaisusta ”[jokaista] toimintoa” ilmenee, että unionin lainsäätäjän tarkoituksena on ollut antaa käsittelyn käsitteelle laaja merkitys. Tätä tulkintaa tukee se, että kyseisessä säännöksessä mainittujen toimintojen luettelo ei ole tyhjentävä, mikä ilmenee ilmaisusta ”kuten”.(22)
42. Tässä yhteydessä käsittelyn käsitteen laajuudesta ilmenee, että 15 artiklan 3 kohdan ensimmäisellä virkkeellä annetaan rekisteröidylle oikeus saada jäljennös henkilötiedoistaan, jotka ovat minkä tahansa ”käsittelynä” pidettävän toimenpiteen kohteena. Kuten jäljempänä 52 kohdassa yksityiskohtaisemmin täsmennetään, tällä säännöksellä ei kuitenkaan sellaisenaan anneta oikeutta saada muita kuin yleisen tietosuoja-asetuksen 15 artiklan 1 kohdassa mainittuja erityisiä tietoja itse henkilötietojen käsittelystä.
43. Kaiken kaikkiaan yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan ensimmäisen virkkeen sanamuodon tarkastelusta seuraa, että tällä säännöksellä annetaan rekisteröidylle oikeus saada jäljennös omista henkilötiedoistaan, laajasti tulkittuna, joihin kohdistetaan toimintoja, jotka voidaan luokitella tällaisen rekisterinpitäjän suorittamaksi käsittelyksi.
44. Tämän sanamuotoa koskevan tarkastelun perusteella voidaan korostaa, että ”henkilötietojen jäljennöksen” on oltava alkuperäistä vastaava toisinto. Käsiteltävät tiedot voivat kuitenkin olla laadultaan niin moninaisia, että käsiteltävien tietojen laadun ja käsittelyn laadun mukaan tällaisten tietojen jäljennös voi olla eri muodoissa, kuten paperilla, ääni- tai kuvatallenteena, sähköisessä muodossa tai muissa muodoissa. Tärkeää on se, että jäljennös vastaa alkuperäisiä tietoja ja rekisteröity kykenee sen perusteella saamaan tietoonsa kaikki käsiteltävät tiedot. Käsiteltävien henkilötietojen mahdollisessa koosteessa on toistettava tällaiset tiedot alkuperäistä vastaavalla ja ymmärrettävällä tavalla, eikä sillä saa myöskään vaikuttaa millään tavoin luovutettavien tietojen sisältöön. Rekisterinpitäjän tekemä valinta toimittaa, mikäli mahdollista, käsiteltävien henkilötietojen kooste, ei näin ollen voi olla peruste jättää joitakin tietoja pois tai toimittaa niitä puutteellisessa tai todellista käsittelyä vastaamattomassa muodossa.
45. Riidanalaisella säännöksellä taataan lisäksi rekisteröidylle oikeus saada jäljennös kaikista käsiteltävistä henkilötiedoistaan eikä siis ainoastaan hankituista tiedoista vaan myös mahdollisista henkilötiedoista, joita rekisterinpitäjä on tuottanut ja jotka ovat käsiteltävinä. Koska tässä säännöksessä viitataan yksinomaan henkilötietojen jäljennökseen, se ei kuitenkaan yhtäältä voi olla perustana oikeudelle tutustua tietoihin, jotka eivät ole luonnehdittavissa tällaisiksi, ja toisaalta se ei anna – välttämättä – oikeutta saada jäljennös asiakirjoista tai muita henkilötietoja sisältävistä alustoista.
46. Näitä näkemyksiä on kuitenkin täydennettävä sen asiayhteyden tarkastelulla, johon kyseinen säännös kuuluu, sekä tavoitteilla, joihin pyritään yleisen tietosuoja-asetuksen 15 artiklassa taatulla oikeudella saada tutustua asiakirjoihin.
2. Asiayhteyteen perustuva ja teleologinen tarkastelu
47. Asiayhteydestä, johon riidanalainen säännös kuuluu, on ennen kaikkea korostettava, että se sisältyy yleisen tietosuoja-asetuksen 15 artiklaan, jossa säädetään siitä, että rekisteröidyllä on oikeus saada rekisterinpitäjältä tilaisuus tutustua itseään koskeviin käsiteltäviin henkilötietoihin. Tällä artiklalla konkretisoidaan ja täsmennetään yleisessä tietosuoja-asetuksessa Euroopan unionin perusoikeuskirjan 8 artiklan 2 kohdan toisessa virkkeessä vahvistettua jokaiselle kuuluvaa oikeutta saada tutustua tietoihin, joita hänestä on kerätty.(23)
48. Yleisen tietosuoja-asetuksen 15 artiklan rakenteesta on todettava, että sen 1 kohdassa säädetään rekisteröidyn oikeudesta saada rekisterinpitäjältä vahvistus siitä, käsitelläänkö häntä koskevia henkilötietoja, ja jos näitä henkilötietoja käsitellään, oikeus saada tutustua henkilötietoihin sekä saada a–h alakohdassa mainitut tiedot. Tällä säännöksellä konkretisoidaan siis oikeutta saada tutustua henkilötietoihin ja niihin liittyviin tietoihin ja määritellään tiedonsaantioikeuden täsmällinen kohde ja soveltamisala.
49. Yleisen tietosuoja-asetuksen 15 artiklan 3 kohdassa täsmennetään sitä vastoin tämän oikeuden käyttämistä koskevia tapoja ja yksilöidään erityisesti se, missä muodossa, eli jäljennöksenä ja täten alkuperäisiä tietoja vastaavana toisintona, rekisterinpitäjän on toimitettava henkilötietoja rekisteröidylle.
50. Edellä kuvatusta yleisen tietosuoja-asetuksen 15 artiklan rakenteesta sekä vaatimuksesta, jonka mukaan kyseisen artiklan 1 ja 3 kohdan säännöksiä on tulkittava johdonmukaisella tavalla, seuraa, että 3 kohdassa ei määritellä – eikä siis voida muuttaa eikä laajentaa – 1 kohdan säännöksessä konkretisoidun tiedonsaantioikeuden kohdetta eikä soveltamisalaa. Edellä mainitulla 3 kohdalla ei siis voida laajentaa rekisterinpitäjälle kuuluvan tiedonsaantioikeuden antamista koskevan velvoitteen ulottuvuutta. Kyseisen artiklan rakenne vahvistaa näin ollen sen, että 3 kohdan säännös ei voi olla perustana rekisteröidyn mahdolliselle erilliselle oikeudelle saada tietoja, joilla mennään pidemmälle kuin säännöksen 1 kohdassa mainitaan.
51. Olen tässä yhteydessä Itävallan tietosuojaviranomaisen kanssa samaa mieltä siitä, että yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan ensimmäisen virkkeen tulkitseminen siten, että tällä säännöksellä mahdollistettaisiin tietojen, joihin rekisteröidyllä on oikeus saada tutustua, soveltamisalan laajentaminen omien henkilötietojensa ulkopuolelle, olisi ristiriidassa perusoikeuskirjan 8 artiklan 2 kohdan kanssa.
52. Edellä oleva tarkastelu vahvistaa yhtäältä edellä 44 kohdassa esitetyn näkemyksen, jonka mukaan yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan ensimmäisellä virkkeellä ei anneta erillistä oikeutta saada jäljennös asiakirjoista tai muista alustoista, jotka sisältävät henkilötietoja. Toisaalta se vahvistaa myös edellä 42 kohdassa suoritetun tarkastelun, jonka mukaan kyseisellä säännöksellä ei anneta rekisteröidylle oikeutta saada muita kuin yleisen tietosuoja-asetuksen 15 artiklan 1 kohdassa tarkoitettuja tietoja(24) itse henkilötietojen käsittelystä, kuten esimerkiksi tietoja, jotka liittyvät perusteisiin, malleihin, sääntöihin tai sisäisiin menettelyihin (esimerkiksi laskentatapoihin), joita käytetään henkilötietojen käsittelyssä. Tällaisia tietoja koskevat usein myös tekijänoikeudet, joita on suojeltava tässä yhteydessä, kuten johdanto-osan 63 perustelukappaleen viidennestä virkkeestä nimenomaisesti seuraa. Kuten yleisen tietosuoja-asetuksen johdanto-osan 60 perustelukappaleesta ilmenee, tämä ei kuitenkaan poista sitä, että rekisterinpitäjän on toimitettava rekisteröidylle mahdollisia lisätietoja, jotka ovat tarpeen asianmukaisen ja läpinäkyvän käsittelyn varmistamiseksi, ottaen huomioon henkilötietojen käsittelyn erityiset olosuhteet ja asiayhteys. Lisäksi on huomautettava, että on olemassa erityissääntöjä, jotka koskevat automaattista päätöksentekoa, mukaan lukien profilointia.(25)
53. Edelleen asiayhteyteen perustuvasta näkökulmasta yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan ensimmäisen virkkeen säännöstä on luettava yleisen tietosuoja-asetuksen muiden asiaa koskevien säännösten valossa. Edellä 32–41 kohdassa tarkasteltujen yleisen tietosuoja-asetuksen 4 artiklan 1 alakohdan 2 alakohdan määritelmien lisäksi merkitystä on erityisesti yleisen tietosuoja-asetuksen 12 artiklan 1 kohdalla, johon ennakkoratkaisua pyytänyt tuomioistuin viittaa kolmannessa ennakkoratkaisukysymyksessään.
54. Kyseisetä säännöksestä ilmenee, että rekisterinpitäjän on toteutettava asianmukaiset toimenpiteet toimittaakseen rekisteröidylle esimerkiksi yleisen tietosuoja-asetuksen 15 artiklan mukaiset kaikki käsittelyä koskevat tiedot tiiviisti esitetyssä, läpinäkyvässä, helposti ymmärrettävässä ja saatavilla olevassa muodossa selkeällä ja yksinkertaisella kielellä ja että tiedot on toimitettava kirjallisesti tai muulla tavoin ja tapauksen mukaan sähköisessä muodossa, ellei rekisteröity pyydä niiden antamista suullisesti.
55. Tämän säännöksen, joka ilmaisee läpinäkyvyyden periaatteen,(26) tavoitteena on taata, että rekisteröity kykenee ymmärtämään kaikilta osin tiedot, joita heille toimitetaan. Näiden tietojen täysimääräinen ymmärtäminen on näet yhtäältä tarpeen, jotta rekisteröity kykenee käyttämään yleisen tietosuoja-asetuksen 15 artiklalla taattua oikeutta saada tutustua tietoihin, ja toisaalta edellytyksenä sille, että rekisteröity voi käyttää täysimääräisesti muita tämän ratkaisuehdotuksen 64 ja 65 kohdassa mainittuja oikeuksia, joita hänelle taataan yleisellä tietosuoja-asetuksella ja jotka seuraavat tutustumisoikeuden käyttämistä.(27) Yleisen tietosuoja-asetuksen johdanto-osan 63 perustelukappaleesta seuraa lisäksi, että rekisteröidyllä on oltava oikeus käyttää oikeutta saada tutustua omiin henkilötietoihinsa helposti ja vaikeuksitta.
56. Unionin tuomioistuin on lisäksi jo korostanut direktiiviä 95/46 koskevassa oikeuskäytännössään, että tiedot on toimitettava ymmärrettävässä muodossa eli muodossa, josta rekisteröity voi saada nämä tiedot täysimääräisesti tietoonsa ja tarkistaa, että ne ovat paikkansapitäviä ja että niitä käsitellään unionin oikeuden kanssa yhteensopivalla tavalla, jotta hän voi tarvittaessa käyttää hänelle kyseisessä direktiivissä annettuja oikeuksia.(28)
57. Edellä mainittu yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan a–h alakohdassa mainittujen tietojen ymmärrettävyyttä koskeva vaatimus merkitsee sitä, että ei ole mahdotonta, että joissain tapauksissa on tarpeen toimittaa rekisteröidylle asiakirjojen kohtia tai jopa kokonaisia asiakirjoja tai tietokantaotteita, jotta taataan, että rekisteröity ymmärtää täydellisesti hänelle toimitettavat tiedot. Arviointi, joka liittyy tarpeeseen toimittaa asiakirjoja tai otteita toimitettavien tietojen ymmärrettävyyden takaamiseksi, on kuitenkin välttämättä suoritettava tapauskohtaisesti pyynnön kohteena olevien tietojen ja itse pyynnön laadun mukaan.
58. Tässä yhteydessä on kuitenkin korostettava, että asiakirjojen tai niiden otteiden mahdollinen toimittaminen ei merkitse – oikeuteen tutustua tietoihin nähden – erillisen yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan ensimmäisessä virkkeessä taatun oikeuden käyttämistä vaan ainoastaan yhtä keinoa, jolla toimitetaan jäljennös henkilötiedoista ja jolla taataan niiden täysi ymmärrettävyys. Huomautettakoon tässä yhteydessä, että kuten jotkin unionin tuomioistuimelle huomautuksiaan esittäneet osapuolet ovat korostaneet, joissain tapauksissa kyseisten henkilötietojen täysimääräiseksi ymmärtämiseksi on välttämätöntä tuntea asiayhteys, jossa tällaisia tietoja on käsitelty. Tämä näkökohta ei kuitenkaan ole omiaan antamaan rekisteröidylle kyseisen säännöksen perusteella yleistä oikeutta saada jäljennös asiakirjoista tai tietokantaotteista.
59. Lisäksi oikeutta saada jäljennös henkilötiedoista rajoittaa yleisen tietosuoja-asetuksen 15 artiklan 4 kohdassa nimenomaisesti säädetty vaatimus, jonka mukaan jäljennös ”ei saa vaikuttaa haitallisesti muiden oikeuksiin ja vapauksiin”. Tästä säännöksestä seuraa, että vaatimus taata rekisteröidylle täysi ja kaikenkattava oikeus saada tutustua omiin henkilötietoihinsa toimittamalla niistä jäljennös ei voi ulottua niin laajalle, että sallitaan muiden oikeuksien ja vapauksien loukkaaminen.
60. Huomautettakoon tässä yhteydessä, että edellä mainittu 4 kohta on muotoiltu aika yleisluonteisesti ja että se jättää avoimeksi, mitkä ”muiden” oikeudet ja vapaudet voivat heikentää sitä mahdollisuutta, että rekisteröity voi saada täyden tutustumisoikeuden, kun hänelle annetaan henkilötietojen jäljennös. On kuitenkin katsottava, että näihin oikeuksiin kuuluvat varmasti, kuten yleisen tietosuoja-asetuksen johdanto-osan 63 perustelukappaleesta nimenomaisesti ilmenee, ”liikesalaisuudet tai teollis- ja tekijänoikeudet ja erityisesti ohjelmistoja suojaavat tekijänoikeudet” sekä kolmansien henkilöiden oikeus henkilötietojen suojeluun, kuten siinä tapauksessa, että alusta, joka sisältää rekisteröidyn henkilötiedot, sisältää lisäksi kolmansien henkilöiden henkilötietoja.
61. Mikäli yhtäältä henkilötietoihin tutustumista koskevan täyden ja kattavan oikeuden käyttäminen ja toisaalta muiden oikeudet ja vapaudet ovat ristiriidassa keskenään, kyseisiä oikeuksia on vertailtava keskenään. Jos mahdollista, on valittava sellaiset henkilötietojen toimittamistavat, joilla ei loukata muiden oikeuksia tai vapauksia, samalla kun otetaan huomioon, että kuten yleisen tiesuoja-asetuksen johdanto-osan 63 perustelukappaleesta ilmenee, tällaiset seikat eivät saa kuitenkaan ”johtaa siihen, että rekisteröidylle ei anneta minkäänlaista tietoa”.
62. Edelleen asiayhteyden näkökulmasta on tämän jälkeen korostettava, että yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan ensimmäisen virkkeen tulkinnan, jonka mukaan kyseisellä säännöksellä ei anneta yleistä oikeutta saada asiakirjojen jäljennöksiä tai tietokantojen otteita, ellei tämä ole välttämätöntä toimitettavien tietojen ymmärrettävyyden takaamiseksi, vahvistaa sekin, että oikeudesta saada tutustua asiakirjoihin, erityisesti hallinnollisiin asiakirjoihin, säädetään nimenomaisesti muissa unionin säädöksissä(29) tai kansallisissa säädöksissä, joilla on eri tavoitteita kuin niillä, joilla taataan henkilötietojen suoja.(30)
63. Edellisessä kohdassa mainitun yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan ensimmäisen virkkeen tulkinnan vahvistaa siis kyseisen säännöksen tarkoituksen tarkastelu, joka suoritetaan yleisen tietosuoja-asetuksen 15 artiklassa taatun rekisteröidyn tiedonsaantioikeuden yhteydessä.
64. Kuten yleisen tietosuoja-asetuksen johdanto-osan 63 perustelukappaleesta ja erityisesti sen ensimmäisestä virkkeestä ilmenee, oikeudella tutustua omiin henkilötietoihin ja muihin yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan a–h alakohdassa tarkoitettuihin tietoihin pyritään ennen kaikkea antamaan rekisteröidylle mahdollisuus saada tieto omien tietojensa käsittelystä ja varmistumaan sen lainmukaisuudesta.(31)
65. Kuten unionin tuomioistuinkin on jo todennut, tämä tiedonsaantioikeus on myös välttämätön, jotta rekisteröity voi käyttää useita muita yleisellä tietosuoja-asetuksella taattuja oikeuksia, joihin kuuluu yleisen tietosuoja-asetuksen 16 artiklassa annettu oikeus tietojen oikaisemiseen, 17 artiklassa annettu oikeus tietojen poistamiseen (”oikeus tulla unohdetuksi”) ja 18 artiklassa annettu oikeus käsittelyn rajoittamiseen.(32) Unionin tuomioistuin on lisäksi selventänyt, että tiedonsaantioikeus on välttämätön myös, jotta rekisteröity voi käyttää yleisen tietosuoja-asetuksen 21 artiklassa tarkoitettua oikeuttaan vastustaa henkilötietojensa käsittelyä tai oikeutta käyttää yleisen tietosuoja-asetuksen 79 ja 82 artiklassa säädettyjä oikeussuojakeinoja kärsityn vahingon tapauksessa saadakseen vahingonkorvausta.(33)
66. Perustelut oikeussäännölle, jolla annetaan oikeus saada jäljennös henkilötiedoista, on ymmärrettävä niiden tavoitteiden asiayhteydessä, jotka liittyvät oikeuteen saada tutustua omiin henkilötietoihin ja muihin tietoihin. Tavoitteena on säätää nimenomaisesti siitä, missä muodossa tämän oikeuden tehokas käyttäminen taataan rekisteröidylle, jotta hänelle annetaan mahdollisuus varmistautua käsittelyn oikeellisuudesta ja lainmukaisuudesta ja hän kykenee tarvittaessa käyttämään edellä 65 kohdassa mainittuja muita oikeuksia. Tavoitteena on toimia siten, että henkilötietoja toimitetaan rekisteröidylle mahdollisimman täsmällisessä ja ymmärrettävässä muodossa, eli näiden tietojen jäljennöksen, joka siis vastaa alkuperäistä, muodossa, jotta hänelle annetaan mahdollisuus käyttää näitä oikeuksia.
67. Tästä näkökulmasta se, että annetaan asiakirjasta jäljennös, joka sisältää tällaiset tiedot, ei vaikuta aina ja kaikissa tapauksissa välttämättömältä lainsäätäjän tavoitteleman päämäärän saavuttamiseksi.
68. Vain siinä tapauksessa, että tällaisen jäljennöksen antaminen on välttämätöntä, jotta taataan käsiteltävien henkilötietojen täysimääräinen ymmärrettävyys, rekisteröity voi edellä 58–61 kohdassa mainituissa rajoissa saada asiakirjojen osia tai mahdollisesti kokonaisia asiakirjoja tai tietokantaotteita.
69. Korostan tässä yhteydessä vielä, että kun yleisessä tietosuoja-asetuksessa säädetään direktiiviin 95/46 sisältyvästä sääntelystä poiketen aidosta ja varsinaisesta oikeudesta saada jäljennös tiedoista, siinä on pyritty vahvistamaan rekisteröidyn asemaa.(34) Kyseessä on näet merkittävä ero verrattuna aikaisemmin voimassa olleeseen lainsäädäntöön, jossa kyseisen direktiivin 12 artiklan a alakohdan toisessa luetelmakohdassa säädettiin ainoastaan siitä, että rekisteröity saa ”käsiteltävät tiedot itselleen ymmärrettävässä muodossa”, millä jätettiin siis jäsenvaltioiden huoleksi määrittää, missä konkreettisessa aineellisessa muodossa henkilötietojen saamisen on tapahduttava, kunhan muoto on ymmärrettävä.(35) Määräämällä nyttemmin yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan ensimmäisessä virkkeessä rekisterinpitäjille velvollisuus toimittaa ”jäljennös” tiedoista määritetään sitä vastoin pakottavasti muoto, jossa tämä viesti on lähetettävä, eli ”jäljennöksenä” tiedoista.
3. Päätelmä kolmesta ensimmäisestä ennakkoratkaisukysymyksestä
70. Edellä esitetyn perusteella katson, että ennakkoratkaisua pyytäneen tuomioistuimen kolmeen ensimmäiseen ennakkoratkaisukysymykseen on vastattava, että yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan ensimmäistä virkettä on tulkittava seuraavasti:
– tämän säännöksen mukaisella ”jäljennöksen” käsitteellä on ymmärrettävä tarkoitettavan sellaista alkuperäistä vastaavaa jäljennöstä rekisteröidyn pyytämistä henkilötiedoista ymmärrettävässä muodossa konkreettisella ja pysyvällä alustalla, jonka perusteella rekisteröity voi käyttää tehokkaasti oikeuttaan saada tutustua henkilötietoihinsa siten, että hän saa täysimääräisesti selville kaikki käsiteltävät henkilötietonsa – mukaan lukien muut tiedot, joita on mahdollisesti tuotettu käsittelyn seurauksena, jos myös niitä käsitellään – jotta hän voi tarkistaa niiden paikkansapitävyyden ja saa mahdollisuuden varmistua käsittelyn oikeellisuudesta ja lainmukaisuudesta voidakseen tarvittaessa käyttää muita oikeuksia, joita hänelle annetaan yleisessä tietosuoja-asetuksessa; jäljennöksen täsmällinen muoto määritetään kunkin tapauksen erityispiirteiden ja erityisesti niiden henkilötietojen laadun, joihin tutustumista pyydetään, ja rekisteröidyn vaatimusten perusteella;
– tällä säännöksellä ei anneta rekisteröidylle yleistä oikeutta saada jäljennös sellaisen asiakirjan osasta tai sellaisesta koko asiakirjasta, joka sisältää rekisteröidyn henkilötietoja, tai, jos henkilötietoja käsitellään tietokannassa, ote tästä tietokannasta;
– tässä säännöksessä ei kuitenkaan suljeta pois sitä, että voi olla olemassa velvollisuus toimittaa rekisteröidylle asiakirjojen osia, kokonaisia asiakirjoja tai tietokantaotteita, jos tämä on tarpeen, jotta voidaan taata tietopyynnön kohteena olevien käsiteltävien henkilötietojen täysi ymmärrettävyys.
B Neljäs ennakkoratkaisukysymys
71. Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee neljännellä ennakkoratkaisukysymyksellään unionin tuomioistuimelta, viitataanko yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan kolmannessa virkkeessä olevalla ”tietojen” käsitteellä ainoastaan saman kohdan ensimmäisessä virkkeessä mainittuihin ”käsiteltäviin henkilötietoihin”, vai sisältääkö se näiden lisäksi myös 15 artiklan 1 kohdan a–h alakohdassa tarkoitetut tiedot (neljännen kysymyksen a alakohta) tai myös muita tietoja, kuten esimerkiksi tietoihin liittyviä metatietoja (neljännen kysymyksen b alakohta).
72. Tähän kysymykseen vastaamiseksi on tulkittava yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan kolmanteen virkkeeseen sisältyvää käsitettä ”tiedot” soveltamalla edellä 25 kohdassa mainittuun oikeuskäytäntöön perustuvaa menetelmää.
73. Tässä tarkoituksessa sanamuodon näkökulmasta käsite ”tiedot” vaikuttaa liian yleisluonteiselta, jotta voitaisiin selventää, viitataanko siinä yksinomaan yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan ensimmäisessä virkkeessä mainittuihin henkilötietoihin vai sisältääkö se muunlaatuisia tietoja.
74. Asiayhteyden näkökulmasta on kuitenkin korostettava, että edellä mainittu kolmas virke sisältyy yleisen tietosuoja-asetuksen 15 artiklan 3 kohtaan, joka koskee rekisterinpitäjän velvoitetta toimittaa rekisteröidyn pyynnöstä ”jäljennös käsiteltävistä henkilötiedoista”. Näin ollen 3 kohdan rakenteen perusteella voidaan katsoa, että käsitteellä ”tiedot” viitataan saman kohdan ensimmäisen virkkeen nojalla täytettävän pyynnön kohteena oleviin tietoihin ja siten pyyntöön saada jäljennös käsiteltävistä henkilötiedoista.
75. Tällainen tulkinta näyttää vastaavan myös saman 3 kohdan tavoitetta, jonka mukaan on, kuten ilmenee edellä 61 kohdasta ja sitä seuraavista kohdista ja erityisesti 69 kohdasta, määritettävä muoto, jolla käsiteltävät henkilötiedot on toimitettava, eli näiden tietojen ”jäljennöksen” muoto. Tässä tarkoituksessa saman kohdan kolmannessa virkkeessä säädetään erityistapauksesta, jossa pyyntö saada jäljennös tällaisista tiedoista esitetään sähköisesti.
76. Tämän jälkeen on kuitenkin mielestäni lisäksi korostettava, että edellä 54 ja 55 kohdassa mainittu yleisen tietosuoja-asetuksen 12 artiklan 1 kohtaan perustuva läpinäkyvyyttä koskeva velvoite, jonka tavoitteena on taata, että rekisteröity kykenee ymmärtämään täysimääräisesti tiedot, joita hänelle toimitetaan muun muassa yleisen tietosuoja-asetuksen 15 artiklan nojalla, kokonaisuutena tarkasteltuna, edellyttää sitä, että jos yleisen tietosuoja-asetuksen 15 artiklan 1 kohdassa tarkoitettu tietopyyntö esitetään sähköisesti, myös a–h alakohdassa tarkoitetut tiedot on toimitettava yleisesti käytössä olevassa sähköisessä muodossa, jotta rekisteröity kykenee tutustumaan niihin täysimääräisesti, helposti ja vaikeuksitta. Mikäli tällaiset tiedot sisältävä sähköinen muoto ei olisi yleisessä käytössä, tämä voisi näet tehdä tutustumisesta näihin tietoihin liian vaikeaa tai hankalaa edellä mainitun läpinäkyvyysvelvoitteen vastaisesti.
77. Lopuksi erityisesti kysymyksen b alakohdan osalta voidaan päätellä siitä seikasta, että yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan kolmannessa virkkeessä viitataan rekisteröidyn ”pyyntöön”, että kyseiseen säännökseen sisältyvällä ”tietojen” käsitteellä ei voida mennä tämän pyynnön nimenomaista kohdetta eli jäljennöksen saamista käsiteltävistä henkilötiedoista pidemmälle. Tästä seuraa, että siinä käytetyssä ”tiedon” käsitteessä viitataan yksinomaan tällaisiin tietoihin, eikä siihen voida sisällyttää muita tietoja kuin ne eikä varmasti muita kuin yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan a–h alakohdassa tarkoitettuja tietoja. Muussa tapauksessa näet laajennettaisiin tutustumisoikeuden ulottuvuutta, millä – kuten onkin jo korostettu edellä 48–51 kohdassa – ei ole mitään perustaa yleisessä tietosuoja-asetuksessa.
78. Kaikesta edellä esitetystä seuraa, että mielestäni ennakkoratkaisua pyytäneen tuomioistuimen esittämään neljänteen ennakkoratkaisukysymykseen on vastattava, että yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan kolmannen virkkeen käsitettä ”tiedot” on tulkittava siten, että siinä viitataan yksinomaan saman kohdan ensimmäisessä virkkeessä tarkoitettuun ”jäljennökseen käsiteltävistä henkilötiedoista”.
IV Ratkaisuehdotus
79. Edellä esitetyn perusteella ehdotan, että unionin tuomioistuin vastaa Bunsdesverwaltungsgerichtin (liittovaltion hallintotuomioistuin, Itävalta) esittämiin ennakkoratkaisukysymyksiin seuraavasti:
Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) 15 artiklan 3 kohdan ensimmäistä virkettä
on tulkittava siten, että
tämän säännöksen mukaisella ”jäljennöksen” käsitteellä on ymmärrettävä tarkoitettavan sellaista alkuperäistä vastaavaa jäljennöstä rekisteröidyn pyytämistä henkilötiedoista ymmärrettävässä muodossa konkreettisella ja pysyvällä alustalla, jonka perusteella rekisteröity voi käyttää tehokkaasti oikeuttaan saada tutustua henkilötietoihinsa siten, että hän saa täysimääräisesti selville kaikki käsiteltävät henkilötietonsa – mukaan lukien muut tiedot, joita on mahdollisesti tuotettu käsittelyn seurauksena, jos myös niitä käsitellään – jotta hän voi tarkistaa niiden paikkansapitävyyden ja saa mahdollisuuden varmistua käsittelyn oikeellisuudesta ja lainmukaisuudesta voidakseen tarvittaessa käyttää muita oikeuksia, joita hänelle annetaan yleisessä tietosuoja-asetuksessa; jäljennöksen täsmällinen muoto määritetään kunkin tapauksen erityispiirteiden ja erityisesti niiden henkilötietojen laadun, joihin tutustumista pyydetään, ja rekisteröidyn vaatimusten perusteella;
tällä säännöksellä ei anneta rekisteröidylle yleistä oikeutta saada jäljennös sellaisen asiakirjan osasta tai sellaisesta koko asiakirjasta, joka sisältää rekisteröidyn henkilötietoja, tai, jos henkilötietoja käsitellään tietokannassa, ote tästä tietokannasta;
tässä säännöksessä ei kuitenkaan suljeta pois sitä, että voi olla olemassa velvollisuus toimittaa rekisteröidylle asiakirjojen osia, kokonaisia asiakirjoja tai tietokantaotteita, jos tämä on tarpeen, jotta voidaan taata tietopyynnön kohteena olevien käsiteltävien henkilötietojen täysi ymmärrettävyys.
Asetuksen 2016/679 15 artiklan 3 kohdan kolmannen virkkeen mukaista ”tietojen” käsitettä
on tulkittava siten, että
siinä viitataan yksinomaan saman kohdan ensimmäisessä virkkeessä tarkoitettuun ”käsiteltävien henkilötietojen jäljennökseen”.