Väliaikainen versio
JULKISASIAMIEHEN RATKAISUEHDOTUS
PRIIT PIKAMÄE
22 päivänä helmikuuta 2024 (1)
Asia C‑693/22
I. sp. z o. o.
vastaan
M. W.
(Ennakkoratkaisupyyntö – Sąd Rejonowy dla m. st. Warszawy w Warszawie (Varsovan kaupungin piirioikeus, Puola))
Ennakkoratkaisupyyntö – Henkilötietojen suoja – Asetus (EU) 2016/679 – Henkilötietoja sisältävän tietokannan myyminen täytäntöönpanomenettelyssä – 4 artiklan 7 alakohta – Rekisterinpitäjän käsite – 5 artiklan 1 kohdan b alakohta – Käyttötarkoitussidonnaisuus – 6 artiklan 1, 3 ja 4 kohta – Käsittelyn lainmukaisuus – Rekisterinpitäjän lakisääteisen velvoitteen noudattaminen – Yleistä etua koskevan tehtävän suorittaminen – 23 artiklan 1 kohdan j alakohta – Yksityisoikeudellisten vaateiden täytäntöönpano – Välttämätön ja oikeasuhteinen toimenpide
1. Voiko henkilötietoja sisältävän tietokannan myyminen täytäntöönpanomenettelyssä olla luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetussa Euroopan parlamentin ja neuvoston asetuksessa (EU) 2016/679 (yleinen tietosuoja-asetus)(2) säädetyn mukaista, kun rekisteröidyt eivät ole antaneet suostumustaan tällaiseen myymiseen?
2. Tämä on Sąd Rejonowy dla m. st. Warszawy w Warszawien (Varsovan kaupungin piirioikeus, Puola) nyt käsiteltävän ennakkoratkaisupyynnön yhteydessä unionin tuomioistuimelle esittämä pääkysymys.
3. Unionin tuomioistuimen on siis tarkasteltava erityislaatuista esimerkkitilannetta yleisen tietosuoja-asetuksen kannalta ja otettava kantaa kyseisen asetuksen eräisiin keskeisiin osiin, kuten rekisterinpitäjän käsitteeseen, käsittelyn lainmukaisuuteen ja käyttötarkoitussidonnaisuuden periaatteen laajuuteen.
Asiaa koskevat oikeussäännöt
Unionin oikeus
4. Yleisen tietosuoja‑asetuksen 4 artiklassa säädetään seuraavaa:
”Tässä asetuksessa tarkoitetaan
1) ’henkilötiedoilla’ kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön, jäljempänä ’rekisteröity’, liittyviä tietoja; – –
2) ’käsittelyllä’ toimintoa tai toimintoja, joita kohdistetaan henkilötietoihin tai henkilötietoja sisältäviin tietojoukkoihin joko automaattista tietojenkäsittelyä käyttäen tai manuaalisesti, kuten tietojen keräämistä, tallentamista, järjestämistä, jäsentämistä, säilyttämistä, muokkaamista tai muuttamista, hakua, kyselyä, käyttöä, tietojen luovuttamista siirtämällä, levittämällä tai asettamalla ne muutoin saataville, tietojen yhteensovittamista tai yhdistämistä, rajoittamista, poistamista tai tuhoamista;
– –
7) ’rekisterinpitäjällä’ luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, joka yksin tai yhdessä toisten kanssa määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot; jos tällaisen käsittelyn tarkoitukset ja keinot määritellään unionin tai jäsenvaltioiden lainsäädännössä, rekisterinpitäjä tai tämän nimittämistä koskevat erityiset kriteerit voidaan vahvistaa unionin oikeuden tai jäsenvaltion lainsäädännön mukaisesti;
– –”
5. Asetuksen 5 artiklan, jonka otsikkona on ”Henkilötietojen käsittelyä koskevat periaatteet”, 1 ja 2 kohdassa säädetään seuraavaa:
”1. Henkilötietojen suhteen on noudatettava seuraavia vaatimuksia:
a) niitä on käsiteltävä lainmukaisesti, asianmukaisesti ja rekisteröidyn kannalta läpinäkyvästi (’lainmukaisuus, kohtuullisuus ja läpinäkyvyys’);
b) ne on kerättävä tiettyä, nimenomaista ja laillista tarkoitusta varten, eikä niitä saa käsitellä myöhemmin näiden tarkoitusten kanssa yhteensopimattomalla tavalla; – –
c) niiden on oltava asianmukaisia ja olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään (’tietojen minimointi’);
– –
2. Rekisterinpitäjä vastaa siitä, ja sen on pystyttävä osoittamaan se, että 1 kohtaa on noudatettu (’osoitusvelvollisuus’).”
6. Asetuksen 6 artiklassa, jonka otsikkona on ”Käsittelyn lainmukaisuus”, säädetään seuraavaa:
”1. Käsittely on lainmukaista ainoastaan jos ja vain siltä osin kuin vähintään yksi seuraavista edellytyksistä täyttyy:
a) rekisteröity on antanut suostumuksensa henkilötietojensa käsittelyyn yhtä tai useampaa erityistä tarkoitusta varten;
– –
c) käsittely on tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi;
– –
e) käsittely on tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi;
– –
3. Edellä olevan 1 kohdan c ja e alakohdassa tarkoitetun käsittelyn perustasta on säädettävä joko
a) unionin oikeudessa; tai
b) rekisterinpitäjään sovellettavassa jäsenvaltion lainsäädännössä.
Käsittelyn tarkoitus määritellään kyseisessä käsittelyn oikeusperusteessa tai, 1 kohdan e alakohdassa tarkoitetussa käsittelyssä, sen on oltava tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi. – – Unionin oikeuden tai jäsenvaltion lainsäädännön on täytettävä yleisen edun mukainen tavoite ja oltava oikeasuhteinen sillä tavoiteltuun oikeutettuun päämäärään nähden.
4. Jos käsittely tapahtuu muuta kuin sitä tarkoitusta varten, jonka vuoksi tiedot on kerätty, eikä käsittely perustu rekisteröidyn suostumukseen eikä unionin oikeuteen tai jäsenvaltion lainsäädäntöön, joka muodostaa demokraattisessa yhteiskunnassa välttämättömän ja oikeasuhteisen toimenpiteen 23 artiklan 1 kohdassa tarkoitettujen tavoitteiden turvaamiseksi, rekisterinpitäjän on otettava huomioon muun muassa seuraavat asiat varmistaakseen, että muuhun tarkoitukseen tapahtuva käsittely on yhteensopivaa sen tarkoituksen kanssa, jota varten tiedot alun perin kerättiin:
a) henkilötietojen keruun tarkoitusten ja aiotun myöhemmän käsittelyn tarkoitusten väliset yhteydet;
b) henkilötietojen keruun asiayhteys erityisesti rekisteröityjen ja rekisterinpitäjän välisen suhteen osalta;
c) henkilötietojen luonne, erityisesti se, käsitelläänkö erityisiä henkilötietojen ryhmiä 9 artiklan mukaisesti tai rikostuomioihin ja rikkomuksiin liittyviä henkilötietoja 10 artiklan mukaisesti;
d) aiotun myöhemmän käsittelyn mahdolliset seuraukset rekisteröidyille;
e) asianmukaisten suojatoimien, kuten salaamisen tai pseudonymisoinnin, olemassaolo.”
7. Yleisen tietosuoja-asetuksen 23 artiklan, jonka otsikkona on ”Rajoitukset”, 1 kohdassa säädetään seuraavaa:
”1. Rekisterinpitäjään tai henkilötietojen käsittelijään sovellettavassa unionin oikeudessa tai jäsenvaltion lainsäädännössä voidaan lainsäädäntötoimenpiteellä rajoittaa niiden velvollisuuksien ja oikeuksien soveltamisalaa, joista säädetään 12–22 artiklassa ja 34 artiklassa sekä 5 artiklassa, siltä osin kuin sen säännökset vastaavat 12–22 artiklassa säädettyjä oikeuksia ja velvollisuuksia, jos kyseisessä rajoituksessa noudatetaan keskeisiltä osin perusoikeuksia ja ‑vapauksia ja se on demokraattisessa yhteiskunnassa välttämätön ja oikeasuhteinen toimenpide, jotta voidaan taata
– –
j) yksityisoikeudellisten vaateiden täytäntöönpano.”
Puolan oikeus
8. Yhtiöoikeuskoodeksista 15.9.2000 annetun lain (ustawa Kodeks spółek handlowych; Dz. U. 2022, järjestysnumero 1467; jäljempänä yhtiöoikeuskoodeksi) 299 §:ssä säädetään seuraavaa:
”1. Jos yritykseen kohdistuva täytäntöönpano osoittautuu tehottomaksi, hallituksen jäsenet vastaavat yhteisvastuullisesti yrityksen veloista.
2. Hallituksen jäsen voi vapautua edellä 1 momentissa tarkoitetusta vastuusta, jos hän osoittaa, että konkurssihakemus on jätetty oikea-aikaisesti tai että samaan aikaan on annettu päätös uudelleenjärjestelymenettelyn aloittamisesta tai velkasaneerauksen hyväksymisestä velkasaneerauksen hyväksymistä koskevassa menettelyssä tai että konkurssihakemuksen jättämisestä pidättyminen ei johtunut hänen virheestään taikka että velkoja ei kärsinyt vahinkoa, vaikka konkurssihakemuksen jättämisestä pidättäydyttiin eikä annettu päätöstä uudelleenjärjestelymenettelyn aloittamisesta tai ei hyväksytty velkasaneerausta velkasaneerauksen hyväksymistä koskevassa menettelyssä.”
9. Siviiliprosessista 17.11.1964 annetun lain (ustawa Kodeks postępowania cywilnego, Dz. U. 2021, järjestysnumero 1805, sellaisena kuin se on muutettuna; jäljempänä siviiliprosessilaki) 796 §:n 1 momentissa säädetään seuraavaa:
”Täytäntöönpanomenettelyn aloittamista koskeva hakemus on jätettävä toimivallan mukaan tuomioistuimelle tai ulosottomiehelle. Ulosottomiehelle jätettävä hakemus voidaan tehdä käyttämällä virallista lomaketta.”
10. Siviiliprosessilain 799 §:n 1 momentin ensimmäisessä virkkeessä säädetään seuraavaa:
”Hakemus täytäntöönpanon aloittamiseksi ja viran puolesta tehty täytäntöönpanovaatimus mahdollistavat täytäntöönpanon kaikilla sallituilla menetelmillä, pois lukien kiinteään omaisuuteen kohdistuvan täytäntöönpanon.”
11. Siviiliprosessilain 824 §:n 1 momentin 3 kohdassa säädetään seuraavaa:
”Täytäntöönpanomenettely lopetetaan viran puolesta osittain tai kokonaan,
– –
3) jos on ilmeistä, että täytäntöönpanon kustannuksia suurempaa määrää ei voida ulosmitata”.
12. Siviiliprosessilain 831 §:ssä säädetään seuraavaa:
”1 Täytäntöönpanon ulkopuolelle jäävät
– –
3) oikeudet, jotka eivät ole luovutettavissa, ellei mahdollisuutta luovuttaa ne ole suljettu pois sopimuksella ja suorituksen kohteeseen voidaan kohdistaa täytäntöönpano tai oikeuden käyttäminen voidaan antaa jollekin muulle.”
13. Ulosottomiehistä 22.3.2018 annetussa laissa (ustawa o komornikach sądowych, Dz. U. 2022, järjestysnumero 1168, sellaisena kuin se on muutettuna; jäljempänä ulosottomiehistä annettu laki) säädetään ulosottomiesten asemasta ja toiminnasta. Lain 3 §:n 1 ja 3 momentissa säädetään seuraavaa:
”Ulosottomies on viranomainen, joka toteuttaa toimia täytäntöönpano- ja turvaamistoimimenettelyssä. Ulosottomies suorittaa nämä toimet, jos laissa ei toisin säädetä.
– –
Ulosottomiehen tehtäviin kuuluu
1) tuomioistuinratkaisujen täytäntöönpano rahamääräisiä tai muita saatavia ja vakuuksia koskevissa asioissa, mukaan lukien eurooppalaiset tilivarojen turvaamismääräykset, ellei [siviiliprosessilaissa] säädetyistä poikkeuksista muuta johdu;
– –”
14. Ulosottomiehistä annetun lain 9 §:n 1 momentissa säädetään seuraavaa:
”Ulosottomies ei voi hylätä hakemusta, joka koskee
1) täytäntöönpanon aloittamista,
– –
jos hänellä on siviiliprosessilain nojalla toimivalta suorittaa kyseinen täytäntöönpano.”
15. Saman lain 31 §:n 1 momentin ensimmäisessä virkkeessä säädetään seuraavaa:
”Ulosottomies toimittaa aikaisintaan seitsemän päivän ja viimeistään 14 päivän kuluessa velkojalle ne rahamäärät, jotka on peritty pankkitililtä, osuustoiminnallisen säästökassan tililtä tai meklaritoimintaa harjoittavan toimijan tililtä ja jotka on saatu velallisen suorittamasta ulosmitatun saatavan ensimmäisestä maksusta, luettuina näiden rahamäärien saamisesta.”
16. Tietokantojen suojaamisesta 27.7.2001 annetun lain (ustawa o ochronie baz danych, Dz. U. 2021, järjestysnumero 386) 2 §:n 1 momentin 1 kohdassa säädetään seuraavaa:
”Tässä laissa tarkoitetaan tietokannalla tietyn systematiikan tai metodin mukaan kerättyjen tietojen tai minkä tahansa muiden aineistojen ja osien kokoelmaa, johon elektronisesti tai muulla tavoin on mahdollistettu yksilöllinen pääsy ja jonka sisällön valmistaminen, varmistaminen tai esittäminen merkitsee määrällisesti tai laadullisesti huomattavaa investointia.”
17. Tietokantojen suojaamisesta annetun lain 6 §:n 1 momentissa säädetään seuraavaa:
”Tietokannan valmistajalla on yksinomainen ja luovutettavissa oleva oikeus koko tietokannan sisällön tai laadullisesti tai määrällisesti arvioituna jonkin sen olennaisen osan kopiointiin ja uudelleenkäyttöön.”
Pääasia, ennakkoratkaisukysymys ja asian käsittelyn vaiheet unionin tuomioistuimessa
18. Puolaan sijoittautuneella I-yhtiöllä (jäljempänä kantaja tai velkojayhtiö) on lainvoimaisella tuomioistuinratkaisulla todettu saatava NMW-yhtiöltä, joka on erikoistunut verkkokauppaan ja jonka hallituksen jäsen MW on.
19. NMW:tä vastaan aloitettiin kantajan hakemuksesta täytäntöönpanomenettely maksun saamiseksi kyseisestä saatavasta. Täytäntöönpanomenettely päättyi ulosottomiehen päätökseen lopettaa täytäntöönpano, koska NMW-yhtiöllä ei ollut varoja, joihin menettely olisi voitu kohdistaa. Tässä tilanteessa kantaja on nostanut MW:tä vastaan kanteen Sąd Rejonowy dla m. st. Warszawy w Warszawiessa (Varsovan kaupungin piirioikeus, Puola) yhtiöoikeuskoodeksin 299 §:n 1 momentin nojalla, jossa säädetään, että velallisyhtiön hallituksen jäsenet vastaavat yrityksen veloista, jos saatavaa ei voida kattaa yhtiön vastaavista.
20. MW on vaatinut kanteen hylkäämistä sillä perusteella, että NMW-yhtiöllä on varoja, joista kunkin arvo on suurempi kuin kantajan saatavan määrä, nimittäin lähdekoodi verkkokauppaohjelmistoon, joka on yhdistetty quasi-cashback ‑palveluun (jäljempänä M-alusta), ja kaksi kyseisen alustan käyttäjätietokantaa.
21. Ennakkoratkaisua pyytänyt tuomioistuin toteaa kuitenkin, että pelkän M-alustan myyminen ilman näitä tietokantoja ei olisi markkinoilla yhtä houkuttelevaa kuin koko ”paketin” myyminen.
22. Kyseinen tuomioistuin katsoo siis, että se tarvitsee vastauksen kysymykseen siitä, voidaanko NMW:n tuottamat tietokannat luovuttaa osana täytäntöönpanomenettelyä. Jos nimittäin vastaus tähän kysymykseen on myöntävä, pääasiassa nostettu kanne on hylättävä.
23. Ennakkoratkaisua pyytänyt tuomioistuin toteaa tässä yhteydessä, että vaikka sitä ei sido kyseessä olevien varojen arvonmääritys, jonka perusteella MW on esittänyt väitteensä – varsinkaan, kun tätä arvonmääritystä ei ole suorittanut tuomioistuinasiantuntija – vastaus edellä mainittuun kysymykseen on edelleen tarpeen ratkaisun antamiseksi pääasiassa, koska Puolan siviiliprosessisäännösten nojalla tällaista näyttöä ei voida esittää, ellei sen ole etukäteen todettu olevan merkityksellistä.
24. Ennakkoratkaisua pyytänyt tuomioistuin katsoo, että kyseiset tietokannat kuuluvat tietokantojen oikeudellisesta suojasta 11.3.1996 annetun Euroopan parlamentin ja neuvoston direktiivin 96/9/EY(3) 1 artiklassa tarkoitetun tietokannan käsitteen alaan, joten niiden omistajalla eli NMW-yhtiöllä on kyseisen direktiivin 7 artiklan nojalla omistukseen perustuva oikeus luovuttaa tietokannat. Täytäntöönpanomenettely voi kohdistua mihin tahansa varallisuusoikeuteen, ellei laissa nimenomaisesti suljeta tätä mahdollisuutta pois. Puolan lainsäätäjä ei ole säätänyt säännöstä, jossa kiellettäisiin pääasiassa kyseessä olevan kaltaisen tietokannan ulosmittaus.
25. Ennakkoratkaisua pyytänyt tuomioistuin on epävarma siitä, voidaanko täytäntöönpanomenettelyssä ulosmitata tällaisia tietokantoja, koska niissä on satojen tuhansien M-alustan käyttäjien henkilötietoja eikä ole näyttöä siitä, että alustan käyttäjät olisivat antaneet suostumuksensa henkilötietojensa käsittelyyn siten, että tiedot annetaan kolmansien käyttöön ilman yhteyttä kyseisen alustan toimintaan. Tässä yhteydessä kyseinen tuomioistuin on todennut, että kyseiset tiedot eivät ole yleisen tietosuoja-asetuksen 9 artiklassa tarkoitettuihin erityisiin henkilötietoryhmiin kuuluvia tietoja.
26. Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee myös, millainen suhde on yleisessä tietosuoja-asetuksessa säädetyillä henkilötietojen käsittelyä koskevilla rajoituksilla ja direktiiviin 96/9 ja kansalliseen oikeuteen perustuvalla tietokannan disponointioikeudella, johon sen mukaan sisältyy oikeus luovuttaa tietokanta täytäntöönpanomenettelyn yhteydessä.
27. Tässä tilanteessa Sąd Rejonowy dla m. st. Warszawy w Warszawie on päättänyt lykätä asian käsittelyä ja esittää unionin tuomioistuimelle seuraavan ennakkoratkaisukysymyksen:
”Onko [yleisen tietosuoja-asetuksen] 5 artiklan 1 kohdan a alakohtaa, luettuna yhdessä [saman asetuksen] 6 artiklan 1 kohdan a, c ja e alakohdan ja 3 kohdan kanssa, tulkittava siten, että se on esteenä sellaiselle kansallisen oikeuden säännökselle, joka mahdollistaa – – direktiivin [96/9] 1 artiklan 2 kohdassa tarkoitetun henkilötiedoista koostuvan tietokannan myymisen, jos rekisteröidyt eivät ole antaneet suostumusta tällaiseen myyntiin?”
28. Puolan hallitus ja Euroopan komissio ovat esittäneet kirjallisia huomautuksia. Samat osapuolet ja I ovat esittäneet suullisia huomautuksia istunnossa, joka pidettiin 16.11.2023.
Asian tarkastelu
Tutkittavaksi ottaminen
29. Aluksi on käsiteltävä kahta kysymystä, jotka koskevat tämän ennakkoratkaisukysymyksen tutkittavaksi ottamista.
30. Ensinnäkin pääasian kantaja ilmaisi istunnossa suhtautuvansa epäilevästi siihen, että ennakkoratkaisukysymyksellä olisi merkitystä pääasiassa. Pääasian kantajan mukaan NMW-yhtiö lopetti taloudellisen toimintansa jo joitain vuosia sitten. Tarkemmin sanottuna yhtiöllä ei ole ollut hallitusta tai johtoa eikä se ole tarjonnut palveluja M-alustan käyttäjille huhtikuun 2019 jälkeen.(4) Yhtiö on siis väistämättä lopettanut toimintansa harjoittamiseen liittyvän henkilötietojen käsittelyn. Tässä tilanteessa käyttötarkoitussidonnaisuuden periaate ja säilytyksen rajoittamisen periaate ovat edellyttäneet kyseisten tietojen poistamista, ja jos tietoja ei ole poistettu, pääasiassa kyseessä olevien tietokantojen olemassaolo on sinänsä lainvastaista. Kun tämä otetaan huomioon, ennakkoratkaisua pyytäneen tuomioistuimen esittämällä kysymyksellä, joka koskee sitä, onko kyseisten tietokantojen myyminen täytäntöönpanomenettelyssä laillista, ei ole merkitystä pääasiassa annettavan ratkaisun kannalta.
31. On huomattava, että yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan e alakohdan mukaan henkilötietoja on säilytettävä muodossa, josta rekisteröity on tunnistettavissa, ainoastaan niin kauan kuin on tarpeen tietojenkäsittelyn tarkoitusten toteuttamista varten.(5) Tästä seuraa, että jopa tietojen alun perin laillinen käsittely voi ajan myötä muuttua yhteensopimattomaksi yleisen tietosuoja-asetuksen kanssa, jos kyseiset tiedot eivät ole enää tarpeen tällaisten tarkoitusten toteuttamiseksi.(6) Tällöin tiedot on poistettava.(7) Nyt käsiteltävässä asiassa kyseessä olevat tiedot on varmastikin kerätty NMW:n harjoittamaa verkkokauppaliiketoimintaa varten. Jos NMW lopetti tämän toimintansa huhtikuussa 2019, ei ole epäilystäkään siitä, että tiedot eivät enää ole olleet tarpeen kyseistä toimintaa varten ja että ne olisi siis pitänyt poistaa. Jos tietoja ei ole poistettu tällä tavalla, kyseisten tietokantojen olemassaolo ei sovi yhteen yleisen tietosuoja-asetuksen kanssa, ja on ilmeistä, että tällä ennakkoratkaisukysymyksellä ei ole merkitystä pääasiassa annettavan ratkaisun kannalta.
32. On kuitenkin muistutettava, että vakiintuneen oikeuskäytännön mukaan unionin tuomioistuimella on ainoastaan toimivalta lausua unionin oikeuden tulkinnasta sellaisiin tosiseikkoihin ja oikeudellisiin seikkoihin nähden, joiden määrittämisestä kansallinen tuomioistuin vastaa, eikä se voi kyseenalaistaa niitä tai selvittää niiden paikkansapitävyyttä.(8)
33. Mistään ennakkoratkaisupyynnön kohdasta ei ilmene, että NMW-yhtiö olisi lopettanut toimintansa huhtikuussa 2019, kuten kantaja väittää.
34. Toiseksi ennakkoratkaisua pyytänyt tuomioistuin on epävarma siitä, voidaanko yleistä tietosuoja-asetusta soveltaa, kun otetaan huomioon direktiivin 96/9 säännökset.
35. Aluksi on muistutettava, että direktiivin 96/9 tavoite on kansallisia lainsäädäntöjä lähentämällä poistaa erot, jotka olivat olemassa kansallisissa lainsäädännöissä tietokantojen oikeudellisessa suojassa ja jotka rajoittivat sisämarkkinoiden toimintaa, tavaroiden ja palvelujen vapaata liikkumista unionissa ja tietopalvelumarkkinoiden kehittämistä unionissa.(9) Direktiivin 96/9 1 artiklan 1 kohdan mukaan sitä sovelletaan kaikenmuotoisten tietokantojen oikeudelliseen suojaan, ja saman artiklan 2 kohdassa säädetyn määritelmän mukaan kyseisessä direktiivissä ”tietokannalla” tarkoitetaan ”teosten, tietojen tai muiden itsenäisten aineistojen kokoelmaa, jotka on järjestetty järjestelmällisellä tai menetelmällisellä tavalla ja johon elektronisesti tai muulla tavoin on mahdollistettu yksilöllinen pääsy”.
36. Kyseisessä direktiivissä edellytetään, että kaikki jäsenvaltiot säätävät kansallisessa lainsäädännössään tietokantojen suojaamisesta sui generis ‑oikeudella. Tarkemmin sanottuna direktiivin 96/9 7 artiklan 1 kohdassa varataan määrällisesti tai laadullisesti huomattavaa investointia edellyttäneen tietokannan valmistajalle oikeus kieltää tietokannan koko sisällön tai olennaisen osan kopiointi ja/tai uudelleenkäyttö. Direktiivin 7 artiklan 3 kohdan mukaan tämä oikeus voidaan luovuttaa toiselle.
37. Ennakkoratkaisua pyytäneen tuomioistuimen mukaan NMW-yhtiön omistamat tietokannat täyttävät edellytykset sille, että niihin sovelletaan tietokantojen suojaamisesta annetussa laissa ja direktiivissä 96/9, jonka säännökset on saatettu osaksi Puolan oikeusjärjestystä ensin mainitulla lailla, säädettyä suojaa. Kyseisen lain 6 §:ssä säädetään muun muassa, että tietokannan valmistajalla on yksinomainen ja luovutettavissa oleva oikeus koko tietokannan sisällön tai jonkin sen olennaisen osan kopiointiin ja uudelleenkäyttöön. Ennakkoratkaisua pyytäneen tuomioistuimen mukaan tämä oikeus on siis varallisuusoikeus, joka on ehdoton ja jolla on erga omnes ‑vaikutus. Puolan lainsäädännön mukaan täytäntöönpanomenettely voi kohdistua kaikkiin varallisuusoikeuksiin, ellei laissa ole säädetty nimenomaista poikkeusta. Kyseisen tuomioistuimen mukaan Puolan lainsäätäjä ei ole säätänyt säännöstä, jossa kiellettäisiin tietokantojen ulosmittaus. Tästä seuraa, että tässä tapauksessa ulosottomiehellä on oikeus luovuttaa tietokannat velkojan lukuun, koska valmistajalla, johon täytäntöönpanomenettely kohdistuu, on oikeus disponoida vapaasti tietokannasta. Kyseisen tuomioistuimen mukaan kyseiseen oikeuteen vetoaminen voi olla esteenä yleisessä tietosuoja-asetuksessa säädetyn soveltamiselle käsiteltävänä olevan kaltaisessa tilanteessa, jolloin ennakkoratkaisukysymys ei täyttäisi tutkittavaksi ottamisen edellytyksiä.
38. Aluksi on huomautettava, että ennakkoratkaisua pyytänyt tuomioistuin ei ole ymmärtänyt oikein direktiivin 96/9 7 artiklassa säädettyä sui generis ‑oikeutta. Kyse on itse asiassa oikeudesta vastustaa toimia, joilla esimerkiksi muodostetaan tietokanta tai sen olennainen osa uudelleen paljon pienemmin kustannuksin kuin tietokannan itsenäinen muodostaminen edellyttäisi,(10) ja tässä yhteydessä unionin lainsäätäjän tarkoituksena on ollut taata henkilölle, joka on ollut aloitteellinen ja ottanut riskin tekemällä olennaisen investoinnin tietokannan keräämistä, varmistamista tai sen sisällön esittämistä varten, palkkio investoinnistaan antamalla hänelle suojaa kyseisestä investoinnista saatujen tulosten luvatonta hyödyntämistä vastaan.(11)
39. Lisäksi direktiivin 96/9 ja yleisen tietosuoja-asetuksen suhteesta on todettava ennen kaikkea, että kyseisen direktiivin 13 artiklasta ilmenee, että sen säännökset eivät vaikuta muihin säännöksiin, jotka koskevat erityisesti henkilötietojen ja yksityisyyden suojaa, ja direktiivin johdanto-osan 48 perustelukappaleesta ilmenee, että direktiivin säännökset eivät rajoita henkilötietoja koskevasta tietosuojasta ja tietojen vapaasta liikkumisesta 24.10.1995 annetussa Euroopan parlamentin ja neuvoston direktiivissä 95/46/EY(12) säädetyn soveltamista – ja yleinen tietosuoja-asennus on korvannut mainitun direktiivin.(13)
40. Näin ollen katson, että unionin tuomioistuimen on otettava kantaa asiakysymykseen tässä asiassa.
Asiakysymys
41. Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee kysymyksellään lähinnä, onko yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohtaa ja 6 artiklan 1 kohdan ensimmäisen alakohdan a, c ja e alakohtaa sekä 3 kohtaa tulkittava siten, että ne ovat esteenä kansalliselle säännöstölle, jonka mukaan ulosottomies voi täytäntöönpanomenettelyssä myydä henkilötietoja sisältävän tietokannan, kun rekisteröidyt, joiden tiedoista on kyse, eivät ole antaneet suostumustaan tietojen tällaiseen myymiseen.
42. Esitän oikeudellisen arviointini seuraavassa järjestyksessä. Yleisen tietosuoja-asetuksen osalta käsittelen kysymystä siitä, voidaanko asetusta soveltaa nyt käsiteltävässä asiassa, ja kysymystä siitä, ketä on pidettävä rekisterinpitäjänä, ennen kuin paneudun tietojen tällaisen käsittelyn lainmukaisuutta koskevien sääntöjen tulkintaan.
43. Tässä ratkaisuehdotuksessa esitetystä päättelystä ilmenee, että unionin oikeuden säännökset, jotka unionin tuomioistuimen on otettava huomioon, ovat vain osin samoja kuin ne, joihin on viitattu ennakkoratkaisukysymyksessä. Ehdottamani vastaus perustuu siis ensin mainittuihin säännöksiin ja määräyksiin.(14)
Kysymys siitä, onko kyse henkilötietojen käsittelystä, ja kysymys siitä, kuka on rekisterinpitäjä
44. Kuten yleisen tietosuoja-asetuksen johdanto-osan kymmenennestä perustelukappaleesta ilmenee, sillä pyritään muun muassa varmistamaan korkeatasoinen luonnollisten henkilöiden suojelu unionissa ja tätä varten varmistamaan kyseisten henkilöiden perusoikeuksien ja ‑vapauksien suojelua henkilötietojen käsittelyssä koskevien sääntöjen johdonmukainen ja yhtenäinen soveltaminen kaikkialla unionissa.(15)
45. Yleisen tietosuoja-asetuksen 2 artiklan 1 kohdan mukaan kyseistä asetusta sovelletaan henkilötietojen käsittelyyn, joka on osittain tai kokonaan automaattista, sekä sellaisten henkilötietojen käsittelyyn muussa kuin automaattisessa muodossa, jotka muodostavat rekisterin osan tai joiden on tarkoitus muodostaa rekisterin osa.
46. Yleisen tietosuoja-asetuksen 2 artiklan 2 kohdassa säädetään useita asetuksen soveltamisalaa rajaavia poikkeuksia, jotka perustuvat siihen, minkä tyyppisen toiminnan yhteydessä henkilötietoja käsitellään. Unionin tuomioistuimen oikeuskäytännöstä ilmenee, että koska poikkeuksia on tulkittava suppeasti, on välttämätöntä, että tämä toiminta kuuluu yleisen tietosuoja-asetuksen 2 artiklan 2 kohdassa nimenomaisesti mainittuihin toimintoihin tai että sen voidaan katsoa kuuluvan samaan ryhmään kuin ne. Näin ollen se, että jotakin toimintoa luonnehditaan valtiolle tai viranomaiselle ominaiseksi, ei ole riittävä peruste katsoa, että henkilötietoja käsitellään sellaisen toiminnan yhteydessä, joka ei kuulu unionin lainsäädännön soveltamisalaan yleisen tietosuoja-asetuksen 2 artiklan 2 kohdan a alakohdassa säädetyssä poikkeussäännössä tarkoitetulla tavalla.(16)
47. Käsiteltävän asian kannalta on tärkeää huomata, että yksityisoikeudellisen vaateen täytäntöönpanon yhteydessä suoritettu henkilötietojen käsittely ei jää tämän asetuksen soveltamisalan ulkopuolelle.
48. Yleisen tietosuoja-asetuksen soveltamisalan rajat määräytyvät henkilötietojen käsittelyn käsitteen mukaan. Asetuksen 4 artiklan 2 alakohdan mukaan käsittelyn käsitteellä tarkoitetaan jokaista toimintoa, joka kohdistetaan henkilötietoihin tai henkilötietoja sisältäviin tietojoukkoihin joko automaattista tietojenkäsittelyä käyttäen tai manuaalisesti, kuten tietojen hakua, kyselyä, käyttöä tai niiden asettamista muutoin saataville. Unionin lainsäätäjän tarkoituksena on siis ollut antaa käsittelyn käsitteelle laaja merkitys.(17)
49. Onko tässä tapauksessa kyse henkilötietojen käsittelystä?
50. Aluksi on kiinnitettävä huomio yhteen seikkaan. Ennakkoratkaisua pyytäneen tuomioistuimen esittämä kysymys ei koske henkilötietojen käsittelynä pidettäviä toimintoja, jotka NMW-yhtiö on suorittanut M-alustalla harjoittamansa verkkokauppaliiketoiminnan yhteydessä. Ennakkoratkaisukysymys koskee yksinomaan täytäntöönpanomenettelyä, joka on aloitettu kyseisten tietokantojen myymiseksi pakkohuutokaupassa. Ennakkoratkaisua pyytäneen tuomioistuimen mukaan tällaisen täytäntöönpanomenettelyn yhteydessä käsitellään henkilötietoja yleisessä tietosuoja-asetuksessa tarkoitetulla tavalla, ja rekisterinpitäjänä on ulosottomies.
51. Puolan hallituksen istunnossa esittämät ulosottomiehen tehtäviä tällaisessa täytäntöönpanomenettelyssä koskevat selvennykset osoittavat mielestäni tämän tulkinnan paikkansapitäväksi.
52. Puolan hallitus selitti istunnossa, että kyseinen menettely alkaa tietokannan haltuunotolla, jolloin ulosottomies saa pääsyn tietokantaan sisältyviin henkilötietoihin voidakseen arvioida tietokannan arvon ja ilmoittaa sen ulosmittauspöytäkirjassa. Arvonmäärityksen yhteydessä ulosottomies suorittaa useita toimintoja, joita ovat muun muassa tietojen hakeminen, niihin tutustuminen ja käyttö.(18) Täytäntöönpanomenettelyn lopuksi tietokanta luovutetaan uudelle omistajalle myymällä se julkisessa huutokaupassa. Kun huutokauppa on ratkaistu lopullisesti ja hinta on maksettu kokonaisuudessaan, ulosottomies luovuttaa kyseisen tietokannan ostajan käyttöön.
53. Näin ollen ulosottomies ainakin hakee pääasiassa kyseessä olevan kaltaisissa tietokannoissa olevia henkilötietoja, tutustuu niihin ja käyttää niitä voidakseen arvioida tietokantojen arvon, ja tämän jälkeen ne annetaan ostajan käytettäväksi. Tässä yhteydessä on huomattava, että henkilötietojen käsittely voi koostua useista toiminnoista, joista jokainen koskee jotakin niistä eri vaiheista, joita henkilötietojen käsittelyyn voi sisältyä.(19) Tässä asiassa näitä toimintoja on siis pidettävä yleisessä tietosuoja-asetuksessa tarkoitettuna käsittelynä.
54. Tämän jälkeen on määriteltävä, kuka on rekisterinpitäjä.
55. Muistutan, että yleisen tietosuoja‑asetuksen 4 artiklan 7 alakohdan mukaan rekisterinpitäjän käsitteellä tarkoitetaan luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, joka yksin tai yhdessä toisten kanssa määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot.(20) Kyseisessä alakohdassa säädetään myös, että jos käsittelyn tarkoitukset ja keinot määritellään esimerkiksi jäsenvaltioiden lainsäädännössä, rekisterinpitäjä tai tämän nimeämistä koskevat erityiset kriteerit voidaan vahvistaa kyseisen lainsäädännön mukaisesti. Tällä rekisterinpitäjän käsitteen laajalla määritelmällä pyritään vakiintuneen oikeuskäytännön mukaan varmistamaan rekisteröityjen tehokas ja kattava suoja.(21)
56. Kun käsittelyn tarkoitukset ja keinot määritellään kansallisessa lainsäädännössä, hyvin tuoreessa oikeuskäytännössä on katsottu, että on tarkistettava, nimetäänkö kyseisessä lainsäädännössä rekisterinpitäjä tai vahvistetaanko siinä tämän nimeämistä koskevat erityiset kriteerit. Rekisterinpitäjän nimeäminen kansallisessa lainsäädännössä voidaan tehdä paitsi nimenomaisesti myös implisiittisesti. Viimeksi mainitussa tapauksessa edellytetään kuitenkin, että määrittäminen ilmenee riittävän varmasti asianomaiselle henkilölle tai yksikölle annetusta asemasta, tehtävästä ja toimivaltuuksista.(22)
57. Käsiteltävässä asiassa ulosottomiehistä annetun lain 3 §:n 1 momentista ilmenee, että ulosottomies on viranomainen, joka toteuttaa toimia – ellei laissa säädetyistä poikkeuksista muuta johdu – muun muassa täytäntöönpanomenettelyssä. Kuten lisäksi jo edellä mainitsin, asiakirja-aineistosta ilmenee, että kun täytäntöönpanoa varten ulosmitataan tietokanta, kyseisiä toimia ovat muun muassa tietokantaan sisältyvien henkilötietojen hakeminen, tietoihin tutustuminen ja niiden käyttäminen tietokannan arvon määrittämiseksi, jotta tietokannan omistusoikeus voidaan luovuttaa huutokaupassa, ja tietokannan antaminen ostajan käyttöön, kun huutokauppa on ratkaistu lopullisesti. Minusta vaikuttaa siltä, että Puolan lainsäädännössä on siis ainakin implisiittisesti määritelty ulosottomiehen suorittaman henkilötietojen käsittelyn tarkoitukset ja keinot.
58. Tästä seuraa, että nyt käsiteltävässä asiassa ulosottomiestä, joka on viranomainen, jonka tehtäviin kuuluu täytäntöönpanomenettelyjen – mukaan lukien tietokantoihin kohdistuvien täytäntöönpanomenettelyjen – suorittaminen, voidaan pitää kyseisiin tietokantoihin sisältyvien henkilötietojen osalta yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa tarkoitettuna rekisterinpitäjänä.
59. Ennakkoratkaisua pyytänyt tuomioistuin ei viittaa mihinkään Puolan lainsäädännön säännökseen, jolla velallisyhtiö NMW velvoitettaisiin tekemään yhteistyötä ulosottomiehen kanssa, jotta tämä voisi arvioida kyseessä olevien tietokantojen arvon niiden myymiseksi pakkohuutokaupassa.
60. Lienee mahdollista, että tällaisten velvollisuuksien täyttämiseksi henkilötietoja olisi muuten käsiteltävä yleisessä tietosuoja-asetuksessa tarkoitetulla tavalla ja kyseinen yhtiö toimisi rekisterinpitäjänä tältä osin. Tässä yhteydessä on muistutettava, että tuomiossaan Valsts ieņēmumu dienests (Henkilötietojen käsittely verotusta varten) unionin tuomioistuin katsoi, että kun talouden toimija luovuttaa henkilötietoja, jotka sen on oikeudellisen säännöstön nojalla toimitettava jäsenvaltion verohallinnolle, kyseiselle verohallinnolle ja asettaa ne sen saataville, kyse on henkilötietojen käsittelystä mainitun verohallinnon sillä pyynnöllä, jolla se pyytää kyseisten tietojen luovuttamista ja saataville asettamista, suorittaman käsittelyn lisäksi.(23)
61. Epätodennäköisempi, vaikka toki abstraktisti ajateltavissa oleva vaihtoehto on se, että ulosottomiehen ja velallisyhtiö NMW:n katsotaan olevan rekisterinpitäjiä yhdessä, kun ne käsittelevät kyseisiä henkilötietoja, jotta ne voidaan myydä pakkohuutokaupassa. Tuomion Belgian valtio (Virallisen lehden käsittelemät tiedot) mukaan tällaiseen yhteisvastuuseen voidaan päätyä, jos eri käsittelytoimia yhdistävät kansallisessa lainsäädännössä määritetyt tarkoitukset ja keinot ja siinä määritellään kunkin yhteisrekisterinpitäjän vastuualueet.(24)
62. Jäljempänä esittämäni analyysi perustuu kuitenkin käsiteltävän asian tosiseikkojen vuoksi siihen, että ulosottomies on ainoa rekisterinpitäjä pääasiassa kyseessä olevan käsittelyn yhteydessä.
63. Ulosottomies on rekisterinpitäjänä vastuussa henkilötietojen käsittelyä koskevien periaatteiden noudattamisesta,(25) minkä lisäksi hänellä on huomattavan paljon velvollisuuksia, joita rekisteröityjen oikeudet vastaavat.(26) Kansallinen lainsäätäjä voi säätää rajoituksia kyseisiin velvollisuuksiin ainoastaan yleisen tietosuoja-asetuksen 23 artiklassa säädetyin edellytyksin. Kun Puolan hallitukselta kysyttiin istunnossa, onko kansallisessa lainsäädännössä tällaisia säännöksiä, se mainitsi ainoastaan tietosuojalain (ustawa o ochronie danych osobowych, Dz. U. 2018, järjestysnumero 1000) 4 §:n. Kyseisessä pykälässä säädetään kuitenkin ainoastaan rajoituksia, jotka koskevat yleistä etua koskevaa tehtävää hoitavan rekisterinpitäjän yleisen tietosuoja-asetuksen 14 artiklan (”Toimitettavat tiedot, kun henkilötietoja ei ole saatu rekisteröidyltä”) 1, 2 ja 4 kohdan mukaisten velvollisuuksien ulottuvuutta.
Henkilötietojen kyseessä olevan käsittelyn lainmukaisuus
64. Kuten unionin tuomioistuin on toistuvasti todennut, henkilötietojen käsittelyssä on noudatettava muun muassa yleisen tietosuoja-asetuksen 5 artiklan 1 kohdassa säädettyjä henkilötietojen käsittelyä koskevia periaatteita ja käsittelyn lainmukaisuuden osalta käsittelyn on täytettävä saman asetuksen 6 artiklassa luetellut lainmukaisuuden edellytykset.(27)
65. Yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisessä alakohdassa säädetään tyhjentävä ja suppea luettelo tilanteista, joissa henkilötietojen käsittelyä voidaan pitää lainmukaisena. Tällainen luonnehdinta edellyttää, että käsittelyyn voidaan soveltaa jotain kyseisessä säännöksessä säädetyistä lainmukaisuuden perusteista. On muistutettava, että kyseessä olevaan henkilötietojen käsittelyyn ei voida soveltaa ensisijaista mainitussa säännöksessä tarkoitettua lainmukaisuuden perustetta eli kyse ei ole tilanteesta, jossa rekisteröity on antanut suostumuksensa henkilötietojensa käsittelyyn yhtä tai useampaa erityistä tarkoitusta varten.(28) Kuten ennakkoratkaisupyynnöstä käy ilmi, pääasiassa ei ole esitetty todisteita siitä, että rekisteröidyt, joiden henkilötietoja on kerätty kyseisiin tietokantoihin, olisivat antaneet suostumuksensa siihen, että heidän tietonsa luovutetaan kolmansille ilman yhteyttä M-alustalla harjoitettuun liiketoimintaan, eivätkä etenkään siihen, että ne myydään täytäntöönpanomenettelyn päätteeksi.
66. Ennakkoratkaisua pyytäneen tuomioistuimen mukaan ulosottomiehen suorittama henkilötietojen käsittely voi kuulua yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan c alakohdan (käsittely, joka on tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi) tai 6 artiklan 1 kohdan ensimmäisen alakohdan e alakohdan (käsittely, joka on tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi) soveltamisalaan.(29)
67. Kuten ennakkoratkaisua pyytänyt tuomioistuin huomauttaa, ulosottomiehistä annetun lain 3 §:ssä säädetään, että ulosottomies on viranomainen. Mielestäni olisi vaikea perustella tulkintaa, jonka mukaan ulosottomiehen tehtäväksi säädetyt täytäntöönpanotoimet, joiden tarkoituksena on velkojan saatavien kattaminen, eivät ole osa ulosottomiehen julkisen vallan käyttöön liittyvän tehtävän suorittamista.
68. Lisäksi olisi vaikea perustella tulkintaa, jonka mukaan käsiteltävässä asiassa kyseessä olevaan tilanteeseen voidaan soveltaa yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan c alakohdassa tarkoitettua perustetta. Tässä yhteydessä on huomattava, että kyseisen säännöksen soveltamisala on tarkasti rajattu. Kuten nimittäin 29 artiklan mukaisen työryhmän lausunnosta 6/2014 ilmenee,(30) rekisterinpitäjän lakisääteisen velvoitteen on oltava riittävän selkeä sen suhteen, millaista henkilötietojen käsittelyä se edellyttää. Tämä edellyttää erityisesti, että on säädetty säännöksiä, joissa mainitaan nimenomaisesti henkilötietojen käsittelyn laatu ja kohde.(31)
69. Katson, että ennakkoratkaisua pyytäneen tuomioistuimen käsiteltävässä asiassa mainitsemia säännöksiä, eli ulosottomiehistä annetun lain 3 §:n 1 momenttia, 9 §:n 1 momentin 1 kohtaa ja 31 §n 1 momentin ensimmäistä virkettä sekä siviiliprosessilain 796 §:n 1 momenttia ja 799 §:n 1 momentin ensimmäistä virkettä, ei voida pitää tällaisina säännöksinä, koska mainituista säännöksistä ilmenee ainoastaan, että viranomaisena ulosottomiehellä on velvollisuus toteuttaa kaikki toimivaltansa mukaiset toimenpiteet täytäntöönpanomenettelyn aloittamista koskevan hakemuksen perusteella. Tarkemmin sanottuna Puolan lainsäädännössä ei ilmeisesti ole säädetty ulosottomiehen lakisääteisestä velvollisuudesta myydä henkilötietoja sisältävä tietokanta pakkohuutokaupassa. Tässä yhteydessä on huomattava, että siviiliprosessilain 831 §:n 1 momentin 3 kohdan nojalla täytäntöönpanon ulkopuolelle jäävät ”oikeudet, jotka eivät ole luovutettavissa”, minkä voidaan tulkita merkitsevän kieltoa luovuttaa tietokanta, jos tietokannan luovuttaminen on ristiriidassa yleisen tietosuoja-asetuksen kanssa.
70. Joka tapauksessa on niin, että sitä mahdollisuutta, että käsiteltävään asiaan voitaisiin soveltaa myös viimeksi mainittua lainmukaisuuden perustetta, ei ole tarpeen sulkea pois. Vaikka nimittäin riittää, että henkilötietojen käsittelyyn voidaan soveltaa yhtä lainmukaisuuden perustetta, kuten yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan sanamuodosta ilmenee, unionin tuomioistuin on katsonut, että yhteen ja samaan henkilötietojen käsittelyyn voidaan soveltaa useita lainmukaisuuden perusteita.(32)
71. Katson siis, että kyseessä olevaan henkilötietojen käsittelyyn voidaan soveltaa yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan e alakohdassa tarkoitettua lainmukaisuuden perustetta.
72. On huomattava, että kyseisen perusteen soveltaminen edellyttää, että otetaan huomioon toinenkin henkilötietojen käsittelyn lainmukaisuuden edellytys. Yleisen tietosuoja-asetuksen 6 artiklan 3 kohdassa nimittäin säädetään, että asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan c ja e alakohdassa tarkoitetun käsittelyn perustasta on säädettävä joko unionin oikeudessa tai rekisterinpitäjään sovellettavassa jäsenvaltion lainsäädännössä ja sen on täytettävä yleisen edun mukainen tavoite ja oltava oikeasuhteinen sillä tavoiteltuun oikeutettuun päämäärään nähden.(33)
73. Yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan e alakohdan ja 6 artiklan 3 kohdan säännöksissä yhdessä luettuina edellytetään siis sellaisen esimerkiksi kansallisen oikeusperustan olemassaoloa, joka on perusteena henkilötietojen käsittelylle sellaisten rekisterinpitäjien toimesta, jotka suorittavat esimerkiksi julkisen vallan käyttöön liittyvää tehtävää, kuten tehtävää, jonka ulosottomies suorittaa, kun se suorittaa yhtiön varoihin kohdistuvia täytäntöönpanotoimia.(34)
74. Katson, että tämä oikeusperusta muodostuu kaikista tämän ratkaisuehdotuksen 69 kohdan ensimmäisessä virkkeessä mainituista Puolan oikeuden säännöksistä, joista ilmenee, että viranomaisena ulosottomiehellä on velvollisuus toteuttaa kaikki toimivaltansa mukaiset toimenpiteet täytäntöönpanomenettelyn aloittamista koskevan hakemuksen perusteella.
75. Kysymys siitä, onko kyseinen henkilötietojen käsittely yleisen tietosuoja-asetuksen mukaista, edellyttää vielä yhden käsiteltävän asian ytimessä olevan oikeudellisen kysymyksen tarkastelua.
76. Huomautan nimittäin, että ulosottomiehen suorittaman henkilötietojen käsittelyn tarkoitus, eli M-alustan käyttäjätietokantojen myyminen pakkohuutokaupalla NMW-yhtiön velkojien saatavien kattamiseksi, eroaa kyseisen yhtiön suorittaman henkilötietojen käsittelyn alkuperäisestä tarkoituksesta, jona oli mahdollistaa M-alustan käyttäminen kyseisen yhtiön verkkokauppaliiketoiminnassa.
77. Tässä yhteydessä on muistutettava, että yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan b alakohdassa, jossa vahvistetaan käyttötarkoitussidonnaisuuden periaate, säädetään, että henkilötiedot on yhtäältä kerättävä tiettyä, nimenomaista ja laillista tarkoitusta varten, eikä niitä toisaalta saa käsitellä myöhemmin näiden tarkoitusten kanssa yhteensopimattomalla tavalla. Tässä säännöksessä ei kuitenkaan ole mainintoja edellytyksistä, joiden täyttyessä henkilötietojen myöhemmän käsittelyn voidaan katsoa olevan yhteensopivaa kyseisten tietojen alkuperäisen keruun tarkoituksen kanssa.(35)
78. Yleisen tietosuoja-asetuksen 6 artiklan 4 kohdasta, luettuna yhdessä asetuksen johdanto-osan 50 perustelukappaleen kanssa,(36) ilmenee, että tällaisen yhteensopivuuden tarkistamisen yhteydessä otetaan huomioon useita kyseisessä kohdassa lueteltuja edellytyksiä, joiden luettelo ei ole tyhjentävä.
79. On ilmeistä, että jos kyseiset edellytykset otettaisiin huomioon tässä asiassa, ei voitaisi katsoa, että kyseiset tarkoitukset ovat yhteensopivia. Kuten unionin tuomioistuin on vastikään todennut, kyseiset edellytykset ilmentävät tarvetta konkreettiseen, loogiseen ja riittävän läheiseen yhteyteen henkilötietojen alkuperäisen keruun tarkoituksen ja kyseisten tietojen myöhemmän käsittelyn välillä, ja niiden avulla voidaan varmistaa, että kyseinen myöhempi käsittely ei poikkea rekisteröidyillä olevista heidän tietojensa myöhempää käyttöä koskevista perustelluista odotuksista.(37) Tällaista yhteyttä ei ole käsiteltävässä asiassa.
80. Yleisen tietosuoja-asetuksen 6 artiklan 4 kohdan ensimmäisestä virkkeestä ilmenee joka tapauksessa, että tarkoitusten yhteensopivuutta on arvioitava ainoastaan siinä tapauksessa, että ”käsittely tapahtuu muuta kuin sitä tarkoitusta varten, jonka vuoksi tiedot on kerätty, eikä käsittely perustu rekisteröidyn suostumukseen eikä unionin oikeuteen tai jäsenvaltion lainsäädäntöön, joka muodostaa demokraattisessa yhteiskunnassa välttämättömän ja oikeasuhteisen toimenpiteen [yleisen tietosuoja-asetuksen] 23 artiklan 1 kohdassa tarkoitettujen tavoitteiden turvaamiseksi”.
81. Käsiteltävässä asiassa on selvää, että M-alustan käyttäjät eivät ole antaneet suostumustaan henkilötietojensa käsittelyyn muuta kuin sitä tarkoitusta varten, jonka vuoksi ne kerättiin. On siis pohdittava, perustuuko tietojen tällainen käsittely kansalliseen lainsäädäntöön tai unionin oikeuteen ja voidaanko käsittelyä pitää demokraattisessa yhteiskunnassa välttämättömänä ja oikeasuhteisena toimenpiteenä jonkin yleisen tietosuoja-asetuksen 23 artiklan 1 kohdassa tarkoitetun tavoitteen turvaamiseksi.
82. Tässä yhteydessä on mielestäni syytä täsmentää, että unionin tuomioistuin on tulkinnut, että tämä tilanne muodostaa varsinaisen poikkeuksen käyttötarkoitussidonnaisuuden periaatteesta. Unionin tuomioistuin on todennut yleisen tietosuoja-asetuksen johdanto-osan 50 perustelukappaleen perusteella, että rekisterinpitäjällä on näin ollen oikeus käsitellä henkilötietoja myöhemmin siitä riippumatta, onko henkilötietojen käsittely niiden tarkoitusten mukainen, joita varten henkilötiedot alun perin kerättiin, jonkin yleisen tietosuoja-asetuksen 23 artiklan 1 kohdassa tarkoitetun tavoitteen turvaamiseksi. Näin ollen se on katsonut, että yleisen tietosuoja-asetuksen 6 artiklan 4 kohdan ensimmäistä virkettä sovelletaan tuomioistuimen riita-asian oikeudenkäynnissä määräämään sellaisen asiakirjan esittämiseen todisteena, johon sisältyy pääasiallisesti verovalvontaa varten kerättyjä kolmansien henkilöiden henkilötietoja.(38)
83. Vaikka tämä tulkinta ei varmaan ole niiden mieleen, joiden mielestä henkilötietojen suojaa koskevaa oikeutta tulisi voida rajoittaa ainoastaan kansallisilla lainsäädäntötoimenpiteillä, se sopii mielestäni täysin yhteen unionin lainsäätäjän tarkoitusperien kanssa. On nimittäin muistettava, että yleisen tietosuoja-asetuksen valmisteluasiakirjoihin kuuluvissa neuvoston kannan perusteluissa ilmaistaan – mahdollisesti asetuksen johdanto-osan 50 perustelukappaletta selkeämmin – päätös jättää rekisterinpitäjille tarkkaan rajattu mahdollisuus käsitellä henkilötietoja tavalla, joka ei sovi yhteen niiden tarkoitusten kanssa, jotka ilmoitettiin kyseisen käsittelyn kohteena olevien henkilötietojen keräämisen yhteydessä.(39)
84. Kun on todettu, että käsiteltävässä asiassa kyseessä olevalle henkilötietojen käsittelylle on oikeusperusta, seuraavaksi on ratkaistava, onko kyseisen käsittelyn tarkoituksena yleisen tietosuoja-asetuksen 23 artiklassa tarkoitettujen tavoitteiden turvaaminen.
85. Totean, että yksi näistä tavoitteista on kyseisen 23 artiklan 1 kohdan j alakohdassa tarkoitettu yksityisoikeudellisten vaateiden täytäntöönpano. Minusta kyseinen henkilötietojen käsittely on omiaan turvaamaan tämän tavoitteen. Tässä yhteydessä on huomattava, että ennakkoratkaisua pyytäneen tuomioistuimen mukaan kyseisen käsittelyn tarkoitus ilmenee siviiliprosessilain 911 §:stä, luettuna yhdessä ulosottomiehistä annetun lain 31 §:n 1 momentin ensimmäisen virkkeen kanssa, joissa ulosottomiehelle annetaan toimivalta myydä tietokanta ja tämän jälkeen siirtää tietokannan myymisestä pakkohuutokaupassa saatu määrä velkojalle.
86. Ennakkoratkaisua pyytäneen tuomioistuimen toimivaltaan kuuluu ratkaista, onko ulosottomiehen täytäntöönpanomenettelyn yhteydessä suorittamaa henkilötietojen käsittelyä pidettävä demokraattisessa yhteiskunnassa välttämättömänä ja oikeasuhteisena toimenpiteenä yksityisoikeudellisten vaateiden täytäntöönpanoa koskevan tavoitteen turvaamiseksi. Unionin tuomioistuimen tehtäviin kuuluu kuitenkin antaa kyseiselle tuomioistuimelle käytettävissään olevien tietojen perusteella tätä varten kaikki tarpeelliset unionin oikeutta koskevat tiedot.(40)
87. Välttämättömyydestä on todettava, että vakiintuneesti katsotaan, että toimenpide on välttämätön, kun sillä tavoiteltua hyväksyttävää päämäärää ei voida saavuttaa muulla tähän soveltuvalla toimenpiteellä, joka on vähemmän rajoittava. Toisin sanoen on kysyttävä, voidaanko velkojayhtiön vaateen täytäntöönpanoa turvata muilla yhtä tehokkailla keinoilla, joilla puututtaisiin vähemmän M-alustan käyttäjien yksityisyydensuojaa ja henkilötietojen suojaa koskevaan oikeuteen? Tässä yhteydessä totean vain, että ennakkoratkaisua pyytäneen tuomioistuimen mukaan velkojayhtiön saatavaa ei voida kattaa velallisyhtiön omaisuudesta, ellei kyseisiä tietokantoja myydä pakkohuutokaupassa.
88. Oikeasuhteisuudesta on todettava, että tämän edellytyksen arvioiminen edellyttää asiaan liittyvien vastakkaisten intressien punnintaa käsiteltävänä olevan erityistapauksen konkreettisten olosuhteiden valossa.
89. Nyt käsiteltävässä asiassa ensimmäinen näistä intresseistä, joka on Euroopan unionin perusoikeuskirjan (jäljempänä perusoikeuskirja) 8 artiklan 1 kohdassa ja SEUT 16 artiklassa vahvistettu perusoikeus, on M-alustan käyttäjien suojaaminen henkilötietojen käsittelyn yhteydessä. Tähän oikeuteen liittyy läheisesti perusoikeuskirjan 7 artiklassa vahvistettu yksityiselämän suojaa koskeva oikeus. Kuten yleisen tietosuoja-asetuksen johdanto-osan neljännessä perustelukappaleessa todetaan, oikeus henkilötietojen suojaan ei ole absoluuttinen, vaan sitä on tarkasteltava suhteessa sen tehtävään yhteiskunnassa ja sen on suhteellisuusperiaatteen mukaisesti oltava oikeassa suhteessa muihin perusoikeuksiin. Yksi näistä perusoikeuksista on perusoikeuskirjan 17 artiklassa vahvistettu omistusoikeus (ts. omaisuuden suoja). Velalliselle kuuluvan tietokannan myynti täytäntöönpanomenettelyn yhteydessä on mielestäni osa tuomioistuimen toteaman saatavan haltijan omaisuuden suojaa.
90. Tässä yhteydessä on muistutettava, että perusoikeuskirjan 17 artikla vastaa Roomassa 4.11.1950 allekirjoitetun ihmisoikeuksien ja perusvapauksien suojaamiseksi tehdyn yleissopimuksen (jäljempänä Euroopan ihmisoikeussopimus) ensimmäisen lisäpöytäkirjan 1 artiklaa, joten perusoikeuskirjan 52 artiklan 3 kohdan nojalla kyseisen 17 artiklan merkitys ja ulottuvuus ovat samat kuin mainitun 1 artiklan Euroopan ihmisoikeussopimuksen mukainen merkitys ja ulottuvuus.
91. Euroopan ihmisoikeustuomioistuimen oikeuskäytännön mukaan omistusoikeudesta seuraa, että valtioilla on positiivinen velvollisuus ottaa käyttöön tuomioistuinratkaisujen täytäntöönpanojärjestelmä, joka on sekä käytännössä että oikeudellisesti tehokas ja jonka avulla voidaan varmistua siitä, että lainvoimaisten tuomioistuinratkaisujen täytäntöön panemiseksi laissa säädetyt menettelyt suoritetaan ilman aiheetonta viivytystä.(41) Kun velkojana on yksityinen toimija, valtiolla on velvollisuus tarjota velkojalle tällaisen tuomioistuinratkaisun täytäntöönpanon edellyttämää apua, esimerkiksi ulosottolaitoksen avulla.(42) Tässä asiayhteydessä on niin, että kun viranomaisilla on velvollisuus ryhtyä toimiin tuomioistuinratkaisun täytäntöön panemiseksi, eivätkä ne ryhdy kyseisiin toimiin, valtio voi olla viranomaisten passiivisuuden perusteella vahingonkorvausvastuussa muun muassa Euroopan ihmisoikeussopimuksen ensimmäisen pöytäkirjan 1 artiklan rikkomisesta.(43)
92. Kun suoritetaan tämä yhtäältä omistusoikeuden ja toisaalta henkilötietojen suojaa ja yksityisyyden suojaa koskevien oikeuksien välinen punninta, mielestäni voidaan ottaa huomioon vielä yksi seikka, joka ilmenee asiakirja-aineistosta.
93. Ennakkoratkaisupyynnön mukaan Puolan lainsäädännössä ei ole säännöstä, jossa säädettäisiin rajoituksia tietokannan ostajan henkilön suhteen, sillä ainoana edellytyksenä on, että henkilö on oikeustoimikelpoinen, ja tästä aukosta seuraa, että kolmas osapuoli, joka ostaa tietokannan, voi olla myös Euroopan unionin ulkopuolelle sijoittautunut yksikkö, johon ei näin ollen sovelleta yleisessä tietosuoja-asetuksessa säädettyjä henkilötietojen käsittelyä koskevia sääntöjä.
94. Minusta vaikuttaa siltä, että tällaisessa tilanteessa kyseessä oleva henkilötietojen käsittely merkitsisi liiallista puuttumista henkilötietojen suojaa koskevaan oikeuteen, eikä sitä näin ollen voitaisi pitää oikeasuhteisena toimenpiteenä. Tällainen lopputulos voitaisiin välttää esimerkiksi, jos kansallisessa lainsäädännössä edellytetään, että ulosottomies kirjaa huutokauppaa varten laatimaansa myyntiasiakirjaan ehdon, jonka mukaan kolmannen osapuolen, joka ostaa tietokannan, on noudatettava yleisessä tietosuoja-asetuksessa säädettyä.
Ratkaisuehdotus
95. Edellä esitetyn perusteella ehdotan, että unionin tuomioistuin vastaa Sąd Rejonowy dla m. st. Warszawy w Warszawien esittämään ennakkoratkaisukysymykseen seuraavasti:
Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) 6 artiklan 1 kohdan ensimmäisen alakohdan e alakohtaa, 3 kohtaa ja 4 kohdan ensimmäistä virkettä
on tulkittava siten, että
ne eivät ole esteenä kansalliselle säännöstölle, jonka mukaan ulosottomies voi täytäntöönpanomenettelyssä myydä henkilötietoja sisältävän tietokannan, kun rekisteröidyt, joiden tiedoista on kyse, eivät ole antaneet suostumustaan tietojen tällaiseen myymiseen, kunhan ulosottomiehen suorittamaa kyseisten henkilötietojen käsittelyä on pidettävä demokraattisessa yhteiskunnassa välttämättömänä ja oikeasuhteisena toimenpiteenä yksityisoikeudellisen vaateen täytäntöönpanon turvaamiseksi.