1.

Denne sag stiller Domstolen over for at skulle behandle forholdet mellem beskyttelse af personoplysninger på den ene side og pressefrihed og andre mediers frihed på den anden side. Ved udstedelsen af Europa-Parlamentet og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger ( 2 ) (herefter »databeskyttelsesdirektivet«) var man klar over den konflikt, der kan være mellem de to grundlæggende rettigheder, og pålagde derfor i artikel 9 medlemsstaterne at finde en ligevægt mellem disse rettigheder. Medlemsstaterne skulle navnlig fastsætte de undtagelser til princippet om beskyttelse af personoplysninger, der er nødvendige af hensyn til medierne. Spørgsmålet er nu, om disse undtagelsesregler skal anvendes på den katalogagtige offentliggørelse af skatteoplysninger vedrørende finske borgere, herunder oplysninger om deres indkomst og formue, samt det forhold, at disse oplysninger stilles til rådighed ved hjælp af en SMS-tjeneste til brug ved mobiltelefoni.

2.

Databeskyttelsesdirektivets artikel 2, litra a)-c), definerer de centrale udtryk »personoplysninger«, »behandling« og »register«:

»I dette direktiv forstås ved

[…]«

3.

På grundlag heraf fastlægges i artikel 3, stk. 1, anvendelsesområdet for direktivet:

»Dette direktivs bestemmelser anvendes på behandling af personoplysninger, der helt eller delvis foretages ved hjælp af edb, samt på ikke-elektronisk behandling af personoplysninger, der er eller vil blive indeholdt i et register.«

4.

Forholdet mellem databeskyttelse og ytrings- og pressefrihed reguleres i artikel 9:

»Medlemsstaterne fastsætter i forbindelse med behandling af personoplysninger, der udelukkende finder sted i journalistisk øjemed eller med henblik på kunstnerisk eller litterær virksomhed, kun fritagelser eller undtagelser fra bestemmelserne i dette kapitel og i kapitel IV og VI, for så vidt som de er nødvendige for at forene retten til privatlivets fred med reglerne for ytringsfrihed.«

5.

Denne bestemmelse omhandles i betragtning 17 og 37 til direktivet:

[…]

6.

Artikel 17, stk. 1, regulerer kravene til behandlingssikkerheden:

»1.   Medlemsstaterne fastsætter bestemmelser om, at den registeransvarlige skal iværksætte de fornødne tekniske og organisatoriske foranstaltninger til at beskytte personoplysninger mod hændelig eller ulovlig tilintetgørelse, mod hændeligt tab, mod forringelse, ubeføjet udbredelse eller ikke-autoriseret adgang, navnlig hvis behandlingen omfatter fremsendelser af oplysninger i et net, samt mod enhver anden form for ulovlig behandling.

Disse foranstaltninger skal under hensyn til det aktuelle tekniske niveau og de omkostninger, som er forbundet med deres iværksættelse, tilvejebringe et tilstrækkeligt sikkerhedsniveau i forhold til de risici, som behandlingen indebærer, og arten af de oplysninger, som skal beskyttes.«

7.

Resten af artikel 17 regulerer anvendelsen af disse forpligtelser, når databehandling overlades til tredjemand.

8.

Den finske grundlov (perustuslaki) beskytter både privatlivets fred (§ 10, stk. 1) og ytringsfrihed og offentlig adgang til oplysninger, som statslige myndigheder er i besiddelse af (§ 12):

»Enhver har ytringsfrihed. Ytringsfriheden omfatter retten til at fremføre, sprede og modtage oplysninger, synspunkter og andre meddelelser, uden at nogen på forhånd forhindrer dette. Nærmere bestemmelser om udøvelse af ytringsfriheden fastsættes ved lov. Bestemmelser om begrænsninger vedrørende billedprogrammer, som er nødvendige for at beskytte børn, kan fastsættes ved lov.

Dokumenter og andre optegnelser, som myndighederne er i besiddelse af, er offentlige, hvis den offentlige adgang ikke af tvingende årsager er begrænset ved lov. Enhver har ret til at indhente oplysninger fra offentlige dokumenter og optegnelser.«

9.

I henhold til § 5, stk. 1, i lov om offentlighed og fortrolighed i forbindelse med skatteoplysninger (laki verotustietojen julkisuudesta ja salassapidosta) udgør de offentlige skatteoplysninger i forbindelse med den årlige indkomstbeskatning den skattepligtiges navn, fødselsår og hjemkommune. Offentlige er desuden bl.a. oplysninger om:

10.

På forespørgsel herom videregiver myndigheden principielt disse oplysninger mundtligt; dokumentet kan imidlertid også udleveres til fremvisning, kopiering eller aflytning, eller i form af en kopi eller udskrift. Om videregivelse af oplysninger fra en myndigheds personregister gælder følgende (§ 16, stk. 3, i den almindelige offentlighedslov, julkisuuslaki):

»Personoplysninger fra en myndigheds personregister kan, hvis ikke andet er bestemt i denne lov, udleveres i form af en kopi eller en udskrift eller i elektronisk form, hvis modtageren i henhold til bestemmelserne om beskyttelse af personoplysninger har ret til at registrere og anvende sådanne personoplysninger. I forbindelse med direkte markedsføring samt opinions- eller markedsundersøgelser må personoplysninger dog kun videregives, hvis det særskilt er bestemt eller den registrerede har givet tilladelse dertil.«

11.

Finland har gennemført databeskyttelsesdirektivet ved henkilötietolaki (persondataloven). Persondatalovens § 2, stk. 4 og 5, indeholder de begrænsninger for lovens anvendelse, der er relevante i den foreliggende sag:

»Loven finder ikke anvendelse i forbindelse med personregistre, som kun indeholder materiale, der som sådant har været offentliggjort i medierne.

Behandlingen af personoplysninger i redaktionelt, kunstnerisk eller litterært øjemed er kun omhandlet i § 1-4, § 32, § 39, stk. 3, § 40, stk. 1 og 3, § 42, § 44, stk. 2, § 45-47, § 48, stk. 2, samt § 50 og 51, hvis ikke andet fremgår af § 17.«

12.

Så vidt det kan ses, er det af de nævnte bestemmelser kun § 32, stk. 1, der er relevant i forbindelse med de spørgsmål, der skal tages stilling til her:

»Den registeransvarlige skal iværksætte de tekniske og organisatoriske foranstaltninger, som er nødvendige for at beskytte personoplysninger mod ubehørig adgang samt mod ødelæggelse, ændring, videregivelse og overførsel, som sker ved en fejl eller i strid med loven eller ved anden ulovlig behandling. Ved iværksættelsen af foranstaltningerne skal der tages hensyn til de tilgængelige tekniske muligheder, omkostningerne, som foranstaltningerne medfører, oplysningernes art, mængde og alder, samt hvilken betydning behandlingen af oplysningerne har i forhold til beskyttelsen af privatlivet.«

13.

Ifølge den forelæggende ret har Satakunnan Markkinapörssi Oy hos skattemyndighederne indsamlet skatteoplysninger vedrørende enkeltpersoner med henblik på videre brug. Under anvendelse af disse oplysninger offentliggjorde denne virksomhed årligt i form af et avislignende blad en liste, der indeholdt skatteoplysninger om ca. 1,2 mio. fysiske personer.

14.

Oplysningerne omfattede personens fornavn og efternavn samt, inden for 100 EUR’s nøjagtighed, dennes løn- og kapitalindkomst samt formue. Oplysningerne blev offentliggjort i regionale publikationer (i 2001 var der tale om 16 regionale publikationer). De pågældende oplysninger optrådte i alfabetisk orden, inddelt efter kommune og indkomstklasse.

15.

Den nedre grænse for, hvilke oplysninger der blev offentliggjort, blev fastsat fra kommune til kommune. For Helsinki valgte man f.eks. en nedre grænse på 36000 EUR. I mindre kommuner lå grænsen lavere.

16.

Det væsentligste formål med publikationen er offentliggørelse af skatteoplysninger. Den indeholder foruden disse oplysninger sammenligninger og andre artikler. I forhold til skatteoplysningerne er omfanget af det øvrige materiale betydeligt mindre.

17.

Satakunnan Markkinapörssi Oy kræver et gebyr for at slette personoplysninger fra bladet. Ifølge virksomheden var betaling af gebyret dog ikke en forudsætning for fjernelse af oplysningerne.

18.

Satakunnan Markkinapörssi Oy videregav de offentliggjorte personoplysninger til Satamedia Oy på en CD-ROM. Satamedia Oy er et andet selskab i de samme personers eje.

19.

Satamedia Oy og Satakunnan Markkinapörssi Oy indgik en aftale med en tredje virksomhed, der er mobiltelefonselskab, vedrørende den tekniske gennemførelse af en SMS-tjeneste. Satamedia Oy videregav til dette formål de pågældende oplysninger til den nævnte tredje virksomhed, som sørgede for SMS-tjenesten på Satamedia Oy’s regning.

20.

Ved denne SMS-tjeneste sender mobiltelefonbrugeren beskeden: SKAT FORNAVN EFTERNAVN HJEMKOMMUNE (f.eks. SKAT MATTI MEIKÄLÄINEN HELSINKI) til et givent nummer. Som svar sendes oplysninger om den pågældende persons løn- og kapitalindkomst samt formue inden for hundrede euros nøjagtighed til mobiltelefonen. I 2004 viste SMS-tjenesten også oplysningerne om andre personer med samme navn samt sammenligningsdata for de forskellige kommuner. Der opkræves et gebyr for en gennemført SMS-tjeneste. Efter anmodning fjerner selskabet også oplysninger fra tjenesten.

21.

Den finske datatilsynsmyndighed »tietosuojavaltuutettu« undersøgte Satakunnan Markkinapörssi Oy og Satamedia Oy’s aktivitet og anmodede datatilsynsmyndigheden »tietosjuojalautakunta« om at forbyde:

22.

Tietosjuojalautakunta afviste denne anmodning. Tietosuojavaltuutettu fik ikke medhold i sit søgsmål i første instans. Tietosuojavaltuutettu har nu indgivet appel til den øverste finske forvaltningsdomstol, Korkein hallinto-oikeus.

23.

I forbindelse med appellen har Korkein hallinto-oikeus i henhold til artikel 234 EF anmodet Domstolen om en præjudiciel afgørelse af følgende spørgsmål:

24.

Der er indgivet skriftlige indlæg af Satakunnan Markkinapörssi Oy og Satamedia Oy i forening, Estland, Portugal, Finland, Sverige samt Kommissionen. I den mundtlige forhandling den 12. februar 2008 deltog desuden tietosuojavaltuutettu; Portugal mødte derimod ikke op.

25.

Domstolens præsident afviste en interventionsbegæring fra den europæiske tilsynsførende for databeskyttelse, da der ikke kan interveneres i en præjudiciel sag, og den europæiske tilsynsførende for databeskyttelse ikke er nævnt som »part« i artikel 23 i Domstolens statut. ( 3 )

26.

I hovedsagen skal det undersøges, om princippet om databeskyttelse er til hinder for Satakunnan Markkinapörssi Oy og Satamedia Oy’s formidling af skatteoplysninger. Den forelæggende ret har derfor stillet det første spørgsmål om, hvorvidt den omhandlede behandling af skatteoplysningerne henhører under anvendelsesområdet for databeskyttelsesdirektivet.

27.

I henhold til § 2, stk. 5, i den finske persondatalov gælder der kun visse databeskyttelsesbestemmelser om behandling af personoplysninger i redaktionelt øjemed. Den eneste begrænsning for behandlingen er tilsyneladende § 32, stk. 1, som gennemfører de krav til behandlingssikkerheden, der stilles i databeskyttelsesdirektivets artikel 17. Det tredje præjudicielle spørgsmål angår fortolkningen af denne bestemmelse.

28.

I det andet spørgsmål beskæftiger den forelæggende ret sig med et yderligere holdepunkt for anvendelsen af databeskyttelsesbestemmelser, nemlig fortolkningen af databeskyttelsesdirektivets artikel 9, der pålægger medlemsstaterne at skabe ligevægt mellem ytringsfrihed og beskyttelse af privatlivets fred. Denne ligevægt skal opnås gennem undtagelser fra databeskyttelsen, når personoplysninger udelukkende behandles i journalistisk øjemed eller med henblik på kunstnerisk eller litterær virksomhed. Den forelæggende ret spørger derfor, om, og i givet fald i hvilket omfang, der i det foreliggende tilfælde er tale om journalistisk øjemed.

29.

Med det fjerde spørgsmål skal det afklares, om en yderligere finsk undtagelse til princippet om databeskyttelse, nemlig undtagelsen i persondatalovens § 2, stk. 4, om behandling af oplysninger, der har været offentliggjort, er forenelig med fællesskabsretten.

30.

Indledningsvis spørger den forelæggende ret, om forskellige aktiviteter fra Satakunnan Markkinapörssi Oy og Satamedia Oy henhører under anvendelsesområdet for databeskyttelsesdirektivet.

31.

Den forelæggende ret og sagens parter er med rette enige om, at offentliggørelsen af skatteoplysningerne og overladelsen heraf gennem en SMS-tjeneste skal anses for en behandling af personoplysninger som omhandlet i databeskyttelsesdirektivets artikel 2, litra a) og b).

32.

Der er tale om personoplysninger, da oplysningerne om indkomst, formue og skat forbindes med forskellige personer. Både offentliggørelsen og overladelsen af oplysningerne via en SMS-tjeneste forudsætter forskellige behandlingsoperationer som omhandlet i databeskyttelsesdirektivets artikel 2, litra b), i f.eks. indsamling, registrering, systematisering og opbevaring samt videregivelse ved transmission, formidling eller enhver anden form for overladelse.

33.

I henhold til artikel 3, stk. 1, kræves det for at anvende databeskyttelsesdirektivet desuden, at der ved hjælp af edb eller ikke-eletronisk foretages en behandling af oplysninger, der er eller vil blive indeholdt i et register. Et register er en struktureret samling af personoplysninger, der er tilgængelige efter bestemte kriterier.

34.

Det er sandsynligt, at de behandlingsoperationer, som den forelæggende ret har nævnt, i det mindste delvis gennemføres ved hjælp af edb, i hvert fald hvis man ser bort fra videregivelsen af CD-ROM’en. Det er imidlertid ikke nødvendigt at afklare yderligere, om videregivelsen er sket ved hjælp af edb, da offentliggørelsen af skatteoplysningerne i papirform udgør et register, og videregivelsen via en SMS-tjeneste forudsætter, at der hentes oplysninger fra et register. Ved alle operationer — herunder videregivelsen af oplysninger via CD-ROM — er der tale om behandling af personoplysninger, der er eller vil blive indeholdt i et register.

35.

Første spørgsmål skal derfor besvares med, at der foreligger en adfærd, der skal betragtes som behandling af personoplysninger i den forstand, hvori udtrykket er anvendt i artikel 3, stk. 1, i direktiv 95/46, når oplysninger om fysiske personers løn- og kapitalindkomst samt formue som beskrevet i forelæggelseskendelsen

36.

Med det andet spørgsmål ønsker den forelæggende ret oplyst, om de aktiviteter, der er tale om i den foreliggende sag, kan anses for en behandling af personoplysninger, der udelukkende finder sted i journalistisk øjemed, som omhandlet i databeskyttelsesdirektivets artikel 9. Artikel 9 er hjemmelen for medlemsstaternes udformning af pressens og de øvrige mediers fortrinsstilling ( 4 ). I henhold hertil fastsætter medlemsstaterne i forbindelse med behandling af personoplysninger, der udelukkende finder sted i journalistisk øjemed eller med henblik på kunstnerisk eller litterær virksomhed, kun fritagelser eller undtagelser fra databeskyttelsesdirektivets kapitel II, IV og VI, for så vidt som de er nødvendige for at forene retten til privatlivets fred med reglerne for ytringsfrihed. Andet spørgsmål drejer sig følgelig om anvendelsesområdet for denne undtagelse.

37.

Databeskyttelsesdirektivets artikel 9 skal fortolkes i lyset af de grundlæggende rettigheder, der skal afbalanceres ved anvendelsen af bestemmelsen. Fællesskabets retsinstanser skal i denne forbindelse navnlig tage hensyn til retspraksis fra Den Europæiske Menneskerettighedsdomstol (herefter »Menneskerettighedsdomstolen«) ( 5 ).

38.

Fællesskabsretten garanterer retten til ytringsfrihed, som er knæsat i artikel 10 i den europæiske konvention til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder, som blev undertegnet den 4. november 1950 i Rom (herefter »EMRK«) ( 6 ). Dette anerkendes i artikel 11 i Den Europæiske Unions charter om grundlæggende rettigheder, der blev proklameret i Nice den 7. december 2000 ( 7 ) (herefter »chartret«). Der opstilles navnlig en beskyttelse af mediefrihed og mediernes pluralisme i chartrets artikel 11, stk. 2, analogt med Domstolens praksis ( 8 ) og protokollen om offentlig radio- og tv-virksomhed i medlemsstaterne ( 9 ).

39.

Ytringsfriheden omfatter ikke kun meningsfrihed, men i henhold til EMRK’s artikel 10, stk. 1, andet punktum, og chartrets artikel 11, stk. 1, første punktum, forstået som kommunikationsfrihed, udtrykkeligt også frihed til at modtage eller meddele oplysninger eller tanker. Menneskerettighedsdomstolen har i fast praksis fremhævet, at ytringsfriheden ikke kun omfatter oplysninger eller tanker, som modtages positivt eller anses for at være harmløse eller ligegyldige, men tillige sådanne som krænker, chokerer eller griber forstyrrende ind i staten eller en del af befolkningen ( 10 ). Også i forbindelse med kommercielle formål beskytter ytringsfriheden videregivelse af informationer og udtrykkelse af meninger ( 11 ).

40.

Den grundlæggende ret til respekt for privatliv er navnlig fastlagt i EMRK’s artikel 8 og anerkendes i chartrets artikel 7. Derudover proklamerer chartrets artikel 8 udtrykkeligt retten til beskyttelse af personoplysninger ( 12 ). Videregivelse af personoplysninger til tredjemand gør indgreb i de berørte personers ret til beskyttelse af deres privatliv, uanset hvordan de videregivne oplysninger efterfølgende anvendes, og er dermed et indgreb i den forstand, hvori udtrykket er anvendt EMRK’s artikel 8 ( 13 ).

41.

Retten til respekt for privatliv er ikke blot en forsvarsret over for statslige indgreb, men indebærer også bestemte forpligtelser for staten ( 14 ). I overensstemmelse hermed har Fællesskabet ved databeskyttelsesdirektivet udstrakt databeskyttelsen til også at omfatte privates behandling af oplysninger. Ud fra samme holdning har Menneskerettighedsdomstolen også i en sag, der drejede sig om anvendelse af fotografier fra en berømt persons privatliv i aviser, allerede fremhævet, at det henset til de tekniske fremskridt ved lagring og genanvendelse af personlige oplysninger er nødvendigt at være særlig årvågen ( 15 ).

42.

En indskrænkning af de to grundlæggende rettigheder er principielt tilladt under forudsætninger, der ligner hinanden: Indskrænkningen skal være hjemlet ved lov, opfylde et eller flere af de lovlige formål i henhold til EMRK’s artikel 8 eller 10 og være nødvendig i et demokratisk samfund. Et tvingende samfundsbehov kan således begrunde indskrænkninger, såfremt de står i et rimeligt forhold til det lovligt forfulgte formål ( 16 ).

43.

En stram anvendelse af databeskyttelsesreglerne kunne betyde, at ytringsfriheden indskrænkes føleligt. Det ville således i vidt omfang være udelukket at udøve efterforskende journalistik, hvis medierne kun kunne behandle og offentliggøre personoplysninger, hvis de berørte har indvilget heri eller givet informationer. På den anden side er det klart, at medierne kan krænke borgernes privatliv ( 17 ). Man skal derfor finde en balance.

44.

Denne konfliktsituation mellem forskellige grundlæggende rettigheder og mellem henholdsvis databeskyttelse og andre almene hensyn er kendetegnende for fortolkningen af databeskyttelsesdirektivet ( 18 ). De relevante direktivbestemmelser er derfor også formuleret relativt generelt. De giver medlemsstaterne det nødvendige råderum ved udstedelse af gennemførelsesforanstaltninger, der kan tilpasses de forskellige tænkelige situationer ( 19 ). Inden for disse rammer skal medlemsstaterne respektere og finde en ligevægt mellem de pågældende grundlæggende rettigheder.

45.

Ifølge Domstolen påhviler det således ikke blot myndigheder og domstole i medlemsstaterne at fortolke deres nationale ret på en måde, der er forenelig med direktiv 95/46, men også at sikre, at de ikke lægger en fortolkning af sidstnævnte til grund, som kommer i konflikt med grundlæggende rettigheder, der beskyttes ved Fællesskabets retsorden, eller med andre generelle fællesskabsretlige principper ( 20 ).

46.

I modsætning til de krav, der stilles til de nationale myndigheder og domstole, er Domstolen meget tilbageholdende ved fastlæggelsen af anvendelsesområdet for databeskyttelsen og afvejningen af kolliderende grundlæggende rettigheder. I Promusicae-dommen nøjedes Domstolen med at nævne de to grundlæggende rettigheder, der var tale om, og overlod det til den forelæggende ret at foretage selve afvejningen ( 21 ), I Österreichischer Rundfunk-dommen forholdt Domstolen sig på lignende vis ( 22 ), men gav dog også den forelæggende ret visse holdepunkter ( 23 ).

47.

Domstolen har også holdt sig tilbage på lignende vis i andre situationer, hvor der var tale om kollision mellem forskellige retlige begreber. Familiapress-dommen drejede sig om kollision mellem de frie varebevægelser og et nationalt forbud mod præmiekonkurrencer i periodiske skrifter. I denne dom udtalte Domstolen sig ganske vist konkret om nødvendigheden af at træffe visse regler ( 24 ), men den overlod det generelt til de nationale retter at bedømme, om forbuddet står i et rimeligt forhold til målet om at opretholde et alsidigt presseudbud, og dette mål ikke kan nås ved mindre indgribende midler ( 25 ).

48.

Domstolen er gået endnu videre for så vidt angår kollision mellem den frie udveksling af tjenesteydelser og menneskelig værdighed eller mellem de frie varebevægelser og ideerne om beskyttelse af børn og unge, idet den har anerkendt, at der kan være forskellige, men lige legitime holdninger i medlemsstaterne om, hvilke indskrænkninger af de grundlæggende friheder der er forholdsmæssige med henblik på at beskytte de offentlige interesser og navnlig de grundlæggende rettigheder ( 26 ).

49.

På den anden side har Domstolen også allerede mindet om, at den har til opgave at give den nationale ret fyldestgørende svar. Domstolen er navnlig kompetent til på grundlag af det i hovedsagen oplyste samt de for den afgivne skriftlige og mundtlige indlæg at vejlede den nationale ret på en sådan måde, at denne kan træffe sin afgørelse i den konkrete sag, der verserer for den ( 27 ). En sådan vejledning vedrører normalt navnlig problemer, der skal tages hensyn til i forbindelse med undersøgelse af spørgsmålet om forholdsmæssighed.

50.

I det foreliggende tilfælde bør Domstolen følge den mere tilbageholdende linje. Det påhviler navnlig Fællesskabets retsinstanser at konkretisere kolliderende grundlæggende rettigheder, hvis det centrale er grænseoverskridende aktiviteter. Er der holdepunkter for, at unionsborgere, der agerer på tværs af grænserne, forskelsbehandles, skal Domstolen foretage en særlig nøje efterprøvelse. Dette ses af dommene om fagforeningsaktiviteter som følge af grænseoverskridende tjenesteydelser ( 28 ), virksomhedsflytning ( 29 ) og protesterende landmænds angreb på frugttransporter ( 30 ).

51.

Schmidberger-dommen ( 31 ) er heller ikke et eksempel i modsat retning. Denne sag drejede sig om hindringer for de frie varebevægelser mellem Tyskland og Italien som følge af en godkendt demonstration på den østrigske Brennermotorvej. I dette tilfælde anerkendte Domstolen ganske vist, at de nationale myndigheder råder over et vidt skøn ved afvejningen mellem de frie varebevægelser og ytrings- og demonstrationsfrihed ( 32 ), men foretog en ret detaljeret efterprøvelse af afvejningens resultat ( 33 ), inden den afviste, at fællesskabsretten var overtrådt.

52.

Ved anvendelsen af databeskyttelsesdirektivet er der derimod kun undtagelsesvis tale om beskyttelse af grænseoverskridende aktiviteter. Direktivet er støttet på artikel 95 EF og har dermed til formål at virkeliggøre det indre marked. Direktivet omfatter imidlertid ikke kun grænseoverskridende databehandling, men derimod også rent nationale operationer. I modsætning til generaladvokat Tizzano ( 34 ) har Domstolen alligevel ikke sat spørgsmålstegn ved, at databeskyttelsesdirektivet gælder vidt, da grænserne for direktivets anvendelsesområde ville blive særdeles usikre og uberegnelige, hvis man kun anvendte det på situationer, der har en grænseoverskridende karakter ( 35 ).

53.

Da direktivets anvendelsesområde er meget bredt og næsten går længere end virkeliggørelse af det indre marked, må det imidlertid konkluderes, at Domstolen, når den afvejer kolliderende grundlæggende rettigheder inden for rammerne af direktivet, principielt bør give medlemsstaterne og disses retter et bredt skøn, inden for hvilket de kan følge deres egne traditioner og samfundets værdinormer.

54.

Databeskyttelsesdirektivets artikel 9 skal fortolkes på baggrund heraf.

55.

I henhold til databeskyttelsesdirektivets artikel 9 fastsætter medlemsstaterne i forbindelse med behandling af personoplysninger, der udelukkende finder sted i journalistisk øjemed eller med henblik på kunstnerisk eller litterær virksomhed, kun fritagelser eller undtagelser fra databeskyttelsesbestemmelserne, for så vidt som de er nødvendige for at forene retten til privatlivets fred med reglerne for ytringsfrihed.

56.

Satakunnan Markkinapörssi Oy og Satamedia Oy samt Finland vil lade databeskyttelsesdirektivets artikel 9 omfatte hele beskyttelsesområdet for ytringsfriheden. Ved en sådan fortolkning ville databeskyttelsesdirektivets artikel 9 i overensstemmelse med sit formål omfatte alle tænkelige konflikter mellem ytringsfrihed og databeskyttelse. Samtidig ville medlemsstaterne være så frit stillet som muligt til at skabe ligevægt mellem databeskyttelse og ytringsfrihed.

57.

Ordlyden af databeskyttelsesdirektivets artikel 9 giver imidlertid ikke belæg for en sådan fortolkning. Bestemmelsen kræver ikke blot, at der skabes ligevægt mellem ytringsfrihed og databeskyttelse, men beskriver også visse formål, med henblik på hvilke medlemsstaterne kan fravige næsten alle kravene i databeskyttelsesdirektivet. Udtrykkene »i jounalistisk øjemed« eller »med henblik på kunstnerisk eller litterær virksomhed« ville ikke have nogen selvstændig funktion i forhold til begrebet »ytringsfrihed«, hvis de betragtet under ét blev sideordnet med »ytringsfrihed«.

58.

Udgangspunktet for en fortolkning af databeskyttelsesdirektivets artikel 9 bør derimod være, at undtagelser til et generelt princip skal fortolkes strengt for ikke at udhule det pågældende princip i urimelig grad ( 36 ). I det foreliggende tilfælde er der risiko for at krænke den grundlæggende ret til privatlivets fred, hvis man anlægger en meget bred fortolkning.

59.

At databeskyttelsesdirektivets artikel 9 nødvendigvis skal fortolkes stramt ses også allerede af, at bestemmelsen kun omfatter behandling af personoplysninger, der udelukkende sker i de øjemed, som bestemmelsen nævner. I henhold til bestemmelsen må de pågældende afvigelser og undtagelser også kun fastsættes, for så vidt som de er nødvendige for at forene de berørte grundlæggende rettigheder.

60.

Som navnlig Kommissionen har fremført, taler også det forhold, at de mulige undtagelser i henhold til databeskyttelsesdirektivets artikel 9 har et bredt omfang, for at fortolke forudsætningerne for at anvende undtagelserne strengt. Mens andre undtagelser i databeskyttelsesdirektivet kun er undtagelser til bestemte regler, giver artikel 9 mulighed for at suspendere næsten alle direktivets krav.

61.

Det kan ikke anføres mod en fortolkning på grundlag af betydningen af udtrykket »i jounalistisk øjemed«, at en sådan fortolkning medfører en krænkelse af ytringsfriheden, idet databeskyttelseskravene går for vidt. Medlemsstaterne er nemlig ikke henvist til at skabe ligevægt mellem ytringsfrihed og privatlivets fred alene inden for rammerne af databeskyttelsesdirektivets artikel 9. De kan også støtte sig til andre bestemmelser, da direktivet i sin helhed indrømmer medlemsstaterne en nødvendig skønsmargin til at definere gennemførelsesforanstaltninger, som kan tilpasses forskellige tænkelige situationer ( 37 ).

62.

Hvad angår privat ytringsfrihed er medlemsstaterne særlig frit stillet, da databeskyttelsesdirektivet i henhold til artikel 3, stk. 2, andet led, ikke gælder for sådan behandling af personoplysninger, som foretages af en fysisk person med henblik på udøvelse af rent personlige eller familiemæssige aktiviteter ( 38 ).

63.

I henhold til databeskyttelsesdirektivets artikel 7, litra f), kan en behandling af personoplysninger desuden være lovlig, hvis den er nødvendig for at den, der foretager behandlingen, kan forfølge en legitim interesse; endvidere kan den pågældende medlemsstat i henhold til artikel 13, stk. 1, litra g), fastsætte undtagelser fra visse bestemmelser af hensyn til beskyttelsen af andres rettigheder og frihedsrettigheder ( 39 ). I disse tilfælde kan man dog navnlig anvende kravene til lovligheden af databehandling som omhandlet i artikel 7 og behandling af følsomme oplysninger i henhold til artikel 8, og databeskyttelseskontrolmyndighederne kan overvåge databehandlingen.

64.

På grundlag heraf må det konkluderes, at anvendelsesområdet for databeskyttelsesdirektivets artikel 9 skal fastlægges ud fra udtrykkene »i journalistisk øjemed« eller »med henblik på kunstnerisk eller litterær virksomhed«, der har en egen betydning, som ikke er identisk med beskyttelsesområdet for ytringsfrihed.

65.

Udtrykket »i journalistisk øjemed« vedrører massemediernes, og herved navnlig pressens og de audiovisuelle mediers, aktivitet. Databeskyttelsesdirektivets tilblivelseshistorie viser, at udtrykket »i journalistisk øjemed« ikke er begrænset til at omfatte institutionaliserede mediers aktivitet. Efter at Kommissionen i første omgang havde foreslået en undtagelse for presseorganer og audiovisuelle medier ( 40 ), var udtrykket »i journalistisk øjemed« et resultat af flere efterfølgende udkast, hvorefter undtagelsen ikke blot skulle anvendes på medievirksomheder, men alle personer, der arbejder journalistisk ( 41 ).

66.

Når udtrykket »i journalistisk øjemed« skal udfyldes yderligere, er det nærliggende at inddrage mediernes opgave i et demokratisk samfund, således som Menneskerettighedsdomstolen har defineret denne i sin praksis angående indskrænkning af ytringsfriheden. Det er en forudsætning for enhver indskrænkning af ytringsfriheden, at indskrænkningen er nødvendig i et demokratisk samfund. Hvis medierne er berørt, skal der tages hensyn til, at en fri presse spiller en væsentlig rolle for, at et demokratisk samfund kan fungere, navnlig idet pressen har rollen som »offentlig vagthund«. Pressen er derfor forpligtet til at formidle informationer og tanker om alle spørgsmål af offentlig interesse ( 42 ).

67.

Da der er tale om formidling af informationer og tanker er det — i modsætning til, hvad der fra visse hold gøres gældende — ikke afgørende, om de formidlede data bearbejdes eller kommenteres. Allerede det forhold, at ubearbejdede data stilles til rådighed, kan udgøre et bidrag til den offentlige diskussion og dermed være af offentlig interesse. Desuden er allerede valget af de formidlede data udtryk for en subjektiv vurdering fra formidlerens side. Valget indeholder nemlig i hvert fald en vurdering af, at disse data har interesse for modtageren.

68.

Som navnlig den svenske regering har fremført, sker behandling af personoplysninger herefter »i journalitisk øjemed«, hvis behandlingen har til formål at formidle informationer og tanker om spørgsmål af offentlig interesse.

69.

Det skal herefter afklares, hvad der skal forstås ved »formidling af informationer og tanker om spørgsmål af offentlig interesse«. Denne formulering beskriver handlinger i forbindelse med udøvelse af ytringsfrihed, som kun kan indskrænkes, hvis meget tungtvejende grunde taler for det.

70.

Den svenske regering har i denne forbindelse henvist til en erklæring, som den afgav, da databeskyttelsesdirektivet blev vedtaget. Herefter skal spørgsmålet, om der foreligger et journalistisk øjemed, ikke besvares på grundlag af, hvilke informationer, der formidles, dvs. indholdet heraf, men derimod ud fra formidlingens art. Det er rigtigt, at det ikke påhviler statslige institutioner at fastlægge, hvilke spørgsmål der er af offentlig interesse, og som medierne har ret til at beskæftige sig med. Det er derfor et følsomt område at efterprøve indholdet.

71.

Formidlingens art og sammenhæng er relevant, når man skal frasortere de tilfælde, hvor der ganske vist formidles informationer eller tanker af offentlig interesse, men formidlingen ikke er rettet mod offentligheden, f.eks. private politiske diskussioner.

72.

I dag er det imidlertid ikke tilstrækkeligt at foretage en afgrænsning på grundlag af informationsformidlingens form, når det skal fastslås, hvorvidt der er tale om journalistisk øjemed. Tidligere var journalistik (ret) klart begrænset til de medier, der tydeligvis er medier, nemlig presse, radio og fjernsyn. I dag anvendes moderne kommunikationsmidler såsom internettet og mobile telekommunikationstjenester imidlertid på samme måde som til private formål også til at formidle informationer af offentlig interesse. Informationsformidlingens art er derfor ganske vist et væsentligt holdepunkt for, om der er tale om et journalistisk øjemed, men man må heller ikke glemme at se på formidlingens indhold.

73.

Der foreligger i hvert fald offentlig interesse, hvis de formidlede informationer vedrører en offentlig debat, der faktisk føres ( 43 ). Visse emner er også i sagens natur af offentlig interesse, f.eks. offentlige rettergange som omhandlet i EMRK’s artikel 6, stk. 1 ( 44 ), offentlighedens interesse i gennemsigtighed med hensyn til det politiske liv ( 45 ) og oplysninger om ledende politikeres tanker og indstillinger samt deres adfærd ( 46 ).

74.

Der må derimod sættes spørgsmålstegn ved, om der er tale om formidling af informationer af offentlig interesse, hvis der formidles detaljer fra privatlivet, og disse ikke har forbindelse med en offentlig funktion, som den berørte person udøver, navnlig når oplysningerne blot skal tilfredsstille et bestemt publikums nysgerrighed om en persons privatliv og, uanset hvor kendt den pågældende måtte være, ikke kan anses for et bidrag til en diskussion af generel interesse for samfundet ( 47 ). Det har særlig betydning for spørgsmålet om, hvor grænsen for den offentlige interesse går, om den pågældende person har en berettiget forventning om, at hans privatliv for så vidt respekteres ( 48 ).

75.

Fressoz og Roire-sagen er et godt eksempel på, hvilke vurderinger der skal foretages ( 49 ). Denne sag drejede sig om straf af to journalister, der offentliggjorde fortrolige dokumenter fra en skattejournal som belæg for deres oplysninger om en virksomhedsdirektions indtægter. Denne offentliggørelse var principielt strafbar i henhold til national ret.

76.

Menneskerettighedsdomstolen påpegede imidlertid, at oplysningerne bidrog til en offentlig debat om lønningers størrelse, der var udløst af en overenskomstkonflikt på den pågældende virksomhed ( 50 ). Oplysningerne om beskatningsgrundlaget og den skat, der var betalt, var heller ikke strengt fortrolige i henhold til national ret ( 51 ). Oplysninger om offentligt kendte virksomheder blev derimod normalt offentliggjort ( 52 ) og i henhold til national retspraksis ikke henført til privatlivets fred ( 53 ).

77.

Informationer og tanker vedrører således spørgsmål af offentlig interesse, hvis de bidrager til en offentlig debat, der faktisk føres, eller angår spørgsmål, der i henhold til national ret og samfundets værdinormer i sagens natur er af offentlig art; dette er derimod ikke tilfældet, hvis der formidles detaljer fra privatlivet, der ikke har nogen forbindelse med den berørte persons funktioner, navnlig hvis vedkommende i så henseende har berettigede forventninger om beskyttelse af privatlivets fred.

78.

Det må imidlertid tilføjes, at statslige institutioner, herunder retter, ikke kan foretage en streng efterprøvelse af, om der er tale om journalistisk øjemed. Det er næppe muligt på forhånd at afgøre, hvilke informationer der vedrører spørgsmål af offentlig interesse, og det er i sidste ende i hvert fald delvis medierne, der i det hele taget skaber en offentlig interesse, i og med at de formidler informationer. Hvis forsøget på at skabe offentlig interesse mislykkes, kan man næppe — efterfølgende — kritisere medierne for dette. Det er principielt heller ikke de statslige institutioners opgave på forhånd at prognosticere, at der i fremtiden ikke vil foreligge nogen offentlig interesse. En sådan prognose ville være et første skridt hen imod censur. Det kan derfor kun fastslås, at formidling af informationer og tanker ikke vedrører spørgsmål af offentlig interesse, hvis dette er åbenbart.

79.

Selv hvis en behandling sker i journalistisk øjemed, kan databeskyttelsesdirektivets artikel 9 ikke nødvendigvis anvendes. Det kræves derimod, at den pågældende behandling af personoplysninger udelukkende finder sted i journalistisk øjemed.

80.

Ved at anvende udtrykket »udelukkende« henviser databeskyttelsesdirektivets artikel 9 til, at behandlingen skal være formålsbestemt som omhandlet generelt i databeskyttelsesdirektivets artikel 6, litra b). I henhold hertil må personoplysninger principielt ikke senere behandles på en måde, der er uforenelig med det formål, de er indsamlet til. Følgelig kan undtagelsen i artikel 9 også kun anvendes på behandlingsoperationer, der udelukkende finder sted i journalistisk øjemed. Forfølges der også andre formål af ikke-journalistisk art, kan princippet om mediernes fortrinsstilling ikke anvendes.

81.

Ved fastlæggelsen af formålet kan det imidlertid ikke være afgørende, om behandlingen umiddelbart sker med henblik på formidling af sådanne informationer, f.eks. idet sådanne oplysninger offentliggøres. Som f.eks. Satakunnan Markkinapörssi Oy og Satamedia Oy har anført, sker en forberedelse af en offentliggørelse også i journalistisk øjemed ( 54 ).

82.

Det er heller ikke udelukket, at en behandling finder sted udelukkende i journalistisk øjemed, fordi der ud over formidlingen af informationer og tanker om spørgsmål af offentlig interesse også forfølges kommercielle formål ( 55 ). Det, der finder sted i journalistisk øjemed, har normalt også det formål i hvert fald at dække omkostningerne ved den journalistiske aktivitet og så vidt muligt også opnå økonomisk gevinst. Kommerciel succes er nemlig en forudsætning for professionel journalistik, i hvert fald i det omfang journalistikken udøves uafhængigt af støtte og indflydelse fra andre, f.eks. staten. Det er derfor en lovlig del af et journalistisk øjemed at tjene penge, idet man formidler informationer og tanker om spørgsmål af offentlig interesse.

83.

Det forholder sig anderledes med kommercielle aktiviteter, der ikke sker med henblik på formidling af informationer og tanker om spørgsmål af offentlig interesse, selv hvis de økonomiske gevinster, der opnås, skal finansiere journalistiske aktiviteter. Sådanne kommercielle aktiviteter adskiller sig nemlig ikke fra lignende aktiviteter, hvor de økonomiske gevinster, de afføder, ikke skal tjene journalistiske formål. I denne situation kunne det tilsidesætte princippet om ligebehandling og navnlig konkurrencen at anvende mediernes fortrinsstilling ( 56 ).

84.

Følgelig finder udbredelsen af annoncer i medierne nok kun undtagelsesvis udelukkende sted med henblik på formidling af informationer og tanker om spørgsmål af offentlig interesse ( 57 ), dvs. udelukkende i journalistisk øjemed, også selv om de indtægter, der opnås herved, er en forudsætning for at kunne udøve medievirksomheden.

85.

Det er vanskeligt konkret at indordne aktiviteter som aktiviteter, der finder sted i journalitisk øjemed. Det er nødvendigt at foretage en bedømmelse af den pågældende målsætning. I denne forbindelse kan det ikke være afgørende, hvilken målsætning der angives af dem, der er ansvarlige for en databehandling, da disse subjektive formål ikke kan efterprøves. Formålet med databehandlingen skal derimod fremgå af objektive forhold ( 58 ).

86.

Både spørgsmålet om, hvorvidt bestemte oplysninger er af offentlig art, og om der foreligger en berettiget forventning om respekt for privatlivets fred, afhænger nærmere af den pågældende — navnlig nationale — retsstilling, samfundets værdinormer og de offentlige debatter, der konkret føres. Det tilkommer principielt ikke Domstolen, men derimod medlemsstaternes kompetente myndigheder at efterprøve disse elementer. Hvis nationale retter anmoder Domstolen om svar på sådanne spørgsmål, bør den kun henvise til forhold, der skal tages hensyn til.

87.

I det foreliggende tilfælde er det navnlig de behandlede oplysningers art, de forskellige former for informationsformidling og muligheden for at lade de egne oplysninger slette, der er af interesse.

88.

Alle behandlingsoperationer vedrører personlige skatteoplysninger. Fællesskabsretten indeholder ganske vist ingen bestemmelser om fortrolig behandling af disse oplysninger, men visse medlemsstater anser dem for at være fortrolige. Følgelig forventer de berørte personer i disse stater i princippet med rette, at denne fortrolighed overholdes. Domstolen er ligeledes af den opfattelse, at oplysninger om indkomst principielt kun må videregives, såfremt dette er nødvendigt for at virkeliggøre et overordnet formål ( 59 ).

89.

Menneskerettighedsdomstolen udleder imidlertid åbenbart ikke af EMRK’s artikel 8, at skatteoplysninger nødvendigvis skal behandles fortroligt ( 60 ). Der kunne således være tale om et lovligt — dvs. begrundet — indgreb i den fællesskabsretlige grundlæggende ret til privatlivets fred, hvis disse oplysninger i Finland i henhold til loven er offentlige tilgængelige hos skattemyndighederne. På grundlag af denne retssituation må man formodentlig også gå ud fra, at finske borgere ikke har nogen berettigede forventninger om, at deres skatteoplysninger behandles fortroligt.

90.

Oplysningerne formidles på to måder: På den ene side offentliggøres de i form af en avis som en samlet liste, og på den anden side tilbydes det, at oplysningerne om den enkelte skatteyder indhentes via SMS.

91.

Den måde, offentliggørelsen af listen foregår på, tjener til at formidle informationer af offentlig interesse. Hele offentligheden tilbydes en omfattende samling af oplysninger. Denne form for offentliggørelse tager umiddelbart ikke hensyn til individuelle interesser.

92.

Det er sværere at bedømme, om denne form for formidling også indholdsmæssigt set er af offentlig interesse. På den ene side kan offentligheden være interesseret i at få et omfattende overblik over beskatningen samt medborgernes indkomst- og formueforhold. For så vidt angår bestemte offentligt kendte personer kan der også være en konkret interesse i at få disse oplysninger.

93.

På den anden side er der ligeledes grund til at antage, at interessen for disse oplysninger i vidt omfang er af privat natur. Der kan f.eks. være tale om personlig nysgerrighed om naboer og bekendte. Det kan endog ikke udelukkes, at der foreligger kommercielle interesser. Kendskab til enkeltpersoners indkomst- og formueforhold kan nemlig udnyttes økonomisk, f.eks. til målrettet reklame eller med henblik på at vurdere kunders finansielle ydeevne og bonitet.

94.

Sidstnævnte synspunkter gør sig endnu mere gældende i forbindelse med SMS-tjenesten, da denne form kun benyttes til informationsformidling, når der består en konkret interesse i oplysningerne om en bestemt person. Det virker usandsynligt, at denne interesse i reglen skulle være af offentlig art. Indhentningen af oplysningerne via SMS vil nok kun undtagelsesvis hænge sammen med spørgsmål af offentlig interesse.

95.

Det er imidlertid ikke muligt generelt at udelukke, at der foreligger offentlig interesse, når informationsformidlingen sker via telekommunikation. Informationsformidling via telekommunikationstjenester supplerer nemlig i stigende omfang traditionelle formidlingsformer via presse og massemedier. Det skal derfor undersøges særligt omhyggeligt, om der i denne form formidles informationer og tanker om spørgsmål af privat eller offentlig interesse.

96.

Endelig har den portugisiske regering fremført, at når Satakunnan forlanger et gebyr for at slette skatteydere fra informationssystemet, er der ikke tale om et journalistisk øjemed. Dette argument skal tiltrædes, hvis Satakunnan forsøger at opnå en økonomisk gevinst med gebyret, da den økonomiske gevinst så netop ikke resulterer af en formidling af informationer og tanker af offentlig interesse. Hvis formålet med gebyret derimod blot er at dække omkostningerne, udelukker dette — uanset om et sådant gebyr er lovligt — ikke i sig selv, at der er tale om et journalistisk øjemed.

97.

Muligheden for at lade de oplysninger, der vedrører en selv, slette, giver imidlertid anledning til at spørge, om der faktisk består en offentlig interesse i et omfattende skatteoplysningsregister. Hvis man uden grund sletter enkelte oplysninger ville dette så nemlig i princippet være i strid med en eventuel offentlig interesse. Hvis læseren forventer et omfattende register, ville slettelsen næsten være vildledende, da der i så fald opstår det indtryk, at den pågældende person ikke betaler noget eller kun lidt i skat.

98.

Det tilkommer de nationale retter at foretage en endelig bedømmelse af disse objektive omstændigheder ud fra de finske samfundsnormer, eventuelt efter at have foretaget en yderligere afklaring af de faktiske omstændigheder.

99.

Selv om databeskyttelsesdirektivets artikel 9 kan anvendes, medfører dette ikke i sig selv, at den pågældende behandling af personoplysninger skal fritages fra databeskyttelsen. Der kan kun lovligt fastsættes undtagelser fra databeskyttelsen, hvis disse er nødvendige for at forene retten til privatlivets fred med de gældende regler om ytringsfrihed.

100.

I overensstemmelse hermed kunne man ligesom Estland og Kommissionen tvivle på, at den finske gennemførelse af databeskyttelsesdirektivets artikel 9 opfylder fællesskabsrettens krav. På trods af fleksibiliteten i databeskyttelsesdirektivets bestemmelser ( 61 ) virker det set ud fra en mere overordnet betragtning noget ensidigt næsten helt at udelukke databeskyttelse i forbindelse med journalistisk databehandling. Det er derfor muligvis fællesskabsretligt påkrævet at underlægge redaktionelle aktiviteter stærkere databeskyttelsesforpligtelser, end det er sket i den finske persondatalov.

101.

Disse overvejelser har imidlertid ingen betydning for besvarelsen af det andet præjudicielle spørgsmål. I hovedsagen er der nedlagt påstand om, at Satakunna Markkinapörssi Oy og Satamedia Oy tilpligtes at undlade at foretage bestemte databehandlinger. Denne forpligtelse kan ikke støttes direkte på databeskyttelsesdirektivet. Et direktiv kan ikke i sig selv skabe forpligtelser for private, og en direktivbestemmelse kan derfor ikke som sådan påberåbes over for sådanne personer ( 62 ).

102.

Kommissionen har derimod — for så vidt angår den finske persondatalovs § 2, stk. 4 — foreslået at undlade at foretage nationale indskrænkninger af databeskyttelsen, som tilsidesætter retten til privatlivets fred. Kommissionen har i denne forbindelse støttet sig til Mangold-dommen, hvor Domstolen anså forbuddet i direktiv 2000/78 ( 63 ) mod forskelsbehandling på grund af alder for et almindeligt fællesskabsretligt princip og heraf udledte, at de nationale retter skal undlade at anvende enhver modstridende bestemmelse i national ret ( 64 ).

103.

En sådan synsvinkel har jeg allerede afvist i en anden sag ( 65 ). Hvis man i stedet for at benytte et direktiv, der ikke kan anvendes direkte over for borgerne, anvender en almindelig retsgrundsætning, hvis indhold er langt mindre klar og præcis, ville der være fare for, at harmoniseringsformålet med direktivet og den med direktivet tilstræbte retssikkerhed ville blive bragt i fare, og forbuddet mod en direkte anvendelse af ikke-gennemførte direktivbestemmelser til skade for borgerne ville herved også blive undermineret. Generaladvokat Mazák og Ruiz- Jarabo Colomer frygter også, at en direkte anvendelse af almindelige retsgrundsætninger ud over direktiver i sidste ende ville underminere direktivernes virkning og derved indskrænke magtadskillelsen og skabe retsusikkerhed ( 66 ).

104.

I det foreliggende tilfælde ville der indtræde netop disse følger: Borgernes forpligtelser for så vidt angår databeskyttelse fremgår af nationale bestemmelser, der gennemfører databeskyttelsesdirektivet. Kommissionens synspunkt medfører derimod, at der skabes forpligtelser, som strider mod de nationale bestemmelser. Dette er ikke foreneligt med retssikkerhedsprincippet. Tilgangen i databeskyttelsesdirektivet, hvorefter det overlades til medlemsstaterne at forene databeskyttelse og ytringsfrihed, ville også blive undermineret.

105.

I den foreliggende sag har det derfor ingen betydning, om Finland har gennemført databeskyttelsesdirektivets artikel 9 korrekt. Den forelæggende ret skal derimod undersøge, om der i national ret er hjemmel for de forbud, som Satakunnan Markkinapörssi Oy og Satamedia Oy påstås pålagt. Den nationale ret skal i denne forbindelse i videst muligt omfang fortolke nationale bestemmelser i lyset af databeskyttelsesdirektivets ordlyd og formål ( 67 ) samt i overensstemmelse med Fællesskabets grundlæggende rettigheder ( 68 ) og på grundlag heraf at nå til det mål, der er fastlagt i direktivet. Forpligtelsen til en overensstemmende fortolkning indskrænkes samtidig af retssikkerhedsprincippet. Dette princip er til hinder for en fortolkning contra legem af national ret ( 69 ).

106.

På grundlag heraf skal det andet spørgsmål besvares med, at behandling af personoplysninger finder sted i journalistisk øjemed som omhandlet i databeskyttelsesdirektivets artikel 9, hvis formålet er at formidle informationer og tanker om spørgsmål af offentlig interesse. Det påhviler den forelæggende ret på grundlag af alle objektive omstændigheder, der står til rådighed, at tage stilling til, om, og i givet fald i hvilket omfang, den omtvistede behandling af skatteoplysninger finder sted i journalistisk øjemed.

107.

Med det tredje spørgsmål ønsker den forelæggende ret afklaret, om databeskyttelsesdirektivets artikel 17, sammenholdt med direktivets principper og formål, skal fortolkes således, at offentliggørelsen af oplysninger, der er indsamlet i journalistisk øjemed, og videregivelse af disse oplysninger med henblik på anvendelse i forretningsmæssigt øjemed er i strid med denne bestemmelse.

108.

Databeskyttelsesdirektivets artikel 17, stk. 1, regulerer behandlingssikkerheden. Herefter fastsætter medlemsstaterne bestemmelser om, at den registeransvarlige skal iværksætte de fornødne tekniske og organisatoriske foranstaltninger til at beskytte personoplysninger mod hændelig eller ulovlig tilintetgørelse, mod hændeligt tab, mod forringelse, ubeføjet udbredelse eller ikke-autoriseret adgang, navnlig hvis behandlingen omfatter fremsendelser af oplysninger i et net, samt mod enhver anden form for ulovlig behandling. Disse foranstaltninger skal under hensyn til det aktuelle tekniske niveau og de omkostninger, som er forbundet med deres iværksættelse, tilvejebringe et tilstrækkeligt sikkerhedsniveau i forhold til de risici, som behandlingen indebærer, og arten af de oplysninger, som skal beskyttes.

109.

Databeskyttelsesdirektivets artikel 17, stk. 1, blev gennemført ved § 32, stk. 1, i den finske persondatalov. Denne regel er en af de få databeskyttelsesretlige bestemmelser, der også gælder for behandling af personoplysninger i journalistisk øjemed. I den foreliggende sag er det navnlig relevant, at der skal forhindres uberettiget eller lovlig databehandling. Hvis disse udtryk skulle forstås således, at den, der behandler oplysningerne, skal sikre, at alle databeskyttelsesdirektivets krav opfyldes, ville disse krav på trods af mediernes fortrinsstilling i henhold til databeskyttelsesdirektivets artikel 9, også gælde for behandling af personoplysninger i journalistisk øjemed.

110.

En sådan fortolkning af databeskyttelsesdirektivets artikel 17, stk. 1, ville imidlertid være i strid med direktivets ordning. Den ville betyde, at kravene normalt på unødvendig vis ville gælde dobbelt, og dette ville i det foreliggende tilfælde stride mod den finske lovgivers vilje, nemlig at gennemføre databeskyttelsesdirektivets artikel 9 ved at fritage behandling i journalistisk øjemed fra disse krav.

111.

Databeskyttelsesdirektivets artikel 17, stk. 1, skal derimod i overensstemmelse med bestemmelsens overskrift »behandlingssikkerhed« og begrundelsen til Kommissionens forslag ( 70 ) forstås således, at der er tale om beskyttelse mod ydre påvirkninger, især ulovlige indgreb fra tredjemand. For dette taler navnlig henvisningen i artikel 17, stk. 1, andet punktum, til det aktuelle tekniske niveau. Denne henvisning giver kun mening, når der er tale om tekniske sikkerhedsforanstaltninger. Spørgsmålet om, hvilke behandlingsoperationer, der er lovlige, har intet med spørgsmålet om det aktuelle tekniske niveau at gøre.

112.

Det reguleres således ikke i artikel 17, stk. 1, om behandlingen er lovlig. Dette fremgår af de øvrige bestemmelser i databeskyttelsesdirektivet, der finder anvendelse.

113.

Muligvis skyldes den forelæggende rets interesse også, at databeskyttelsesdirektivets artikel 17, stk. 2-4, omhandler datasikkerheden i forbindelse med en behandling, der udføres på grundlag af en ordre. Ved en sådan behandling videregives oplysninger fra den ansvarlige til en tredjemand. I det foreliggende tilfælde giver Satakunnan Markinapörssi oplysninger videre til Satamedia. Artikel 17 stiller imidlertid ingen relevante krav til denne videregivelse. Bestemmelserne om behandling, der udføres på grundlag af en ordre, skal nemlig kun sikre, at kravene i artikel 17, stk. 1, om behandlingssikkerhed også overholdes, når der er tale om en sådan behandling.

114.

I overensstemmelse med det forslag, de fleste parter har fremsat, skal det tredje spørgsmål derfor besvares med, at databeskyttelsesdirektivets artikel 17 ikke regulerer, om oplysninger, der er indsamlet i journalistisk øjemed, må offentliggøres og videregives med henblik på anvendelse i forretningsmæssigt øjemed.

115.

Med det fjerde spørgsmål ønsker den forelæggende ret oplyst, om databeskyttelsesdirektivet kan fortolkes således, at personregistre, som kun indeholder materiale, der som sådant har været offentliggjort i medierne, falder helt uden for dets anvendelsesområde.

116.

Baggrunden for dette spørgsmål er den finske persondatalovs § 2, stk. 4. Ifølge denne bestemmelse gælder loven ikke for personregistre, som kun indeholder materiale, der som sådant har været offentliggjort i medierne.

117.

Som Estland, Portugal og Kommissionen med rette har fremhævet, indeholder databeskyttelsesdirektivet ikke en lignende undtagelse. Det betones derimod udtrykkeligt i betragtning 12 og 26 til direktivet, at beskyttelsesprincipperne skal gælde enhver oplysning om en identificeret eller identificerbar person.

118.

En generel undtagelse for så vidt angår offentliggjorte oplysninger ville navnlig fjerne virkningen af kravet om en formålsbunden behandling som omhandlet i databeskyttelsesdirektivets artikel 6, stk. 1, litra b). Man ville nemlig i så fald efter offentliggørelse kunne anvende oplysningerne til ethvert formål, uanset hvad der var det oprindelige formål med at indsamle dem.

119.

Finland har imidlertid gjort gældende, at behandling af offentliggjorte personoplysninger er begrundet som følge af retten til ytringsfrihed. I modsætning til, hvad Finland har påstået, kan denne opfattelse imidlertid ikke begrundes med, at videregivelsen gennem en SMS-tjeneste i det foreliggende tilfælde ligeledes er omfattet af ytringsfriheden. Denne bemærkning er relevant, når der skal tages stilling til den påstand, som navnlig Sverige har fremført, om at SMS-tjenesten opfylder kravene i databeskyttelsesdirektivets artikel 9 og de pågældende finske gennemførelsesbestemmelser og dermed henhører under mediernes fortrinsstilling.

120.

I henhold til finsk ret er behandlingen af offentliggjorte personoplysninger imidlertid slet ikke bundet af kravene i databeskyttelsesdirektivets artikel 9. Spørgsmålet er derfor, om ytringsfriheden også omfatter muligheden for at behandle sådanne oplysninger uden indskrænkninger.

121.

I henhold til EMRK’s artikel 10, stk. 1, omfatter retten til ytringsfrihed frihed til at modtage eller meddele oplysninger eller tanker, uden indblanding fra offentlig myndighed. I det omfang en behandling af offentliggjorte personoplysninger er nødvendig med henblik herpå, henhører behandlingen derfor under anvendelsesområdet for ytringsfriheden. Denne frihed kan og skal imidlertid indskrænkes, såfremt beskyttelsen af privatlivets fred er til hinder for en behandling af oplysningerne. Følgelig kan man ikke give sådanne behandlingsoperationer en generel fortrinsstilling. Det skal derimod i det enkelte tilfælde undersøges, hvilken grundlæggende rettighed der vejer tungest.

122.

Ganske vist må man i forbindelse med offentliggjorte informationer, der pr. definition er almindeligt kendt, i reglen gå ud fra, at beskyttelsen af privatlivets fred har mindre vægt. Men det kan ikke udelukkes, at privatlivets fred er til hinder for vedvarende og mere dybtgående indgreb som følge af videre behandling af oplysningerne, f.eks. i form af fejlagtige oplysninger, fornærmelser eller informationer, der vedrører intimsfæren.

123.

Undtagelser til databeskyttelsesdirektivets krav kan desuden støttes på artikel 13. Det er navnlig beskyttelsen af andres rettigheder og frihedsrettigheder i henhold til artikel 13, stk. 1, litra g), der kommer på tale. Det kan tænkes, at ytringsfriheden i Finland omfatter retten til at videregive offentliggjorte informationer uden yderligere databeskyttelsesretlige indskrænkninger. Der skal også tages hensyn til, at behandling af offentliggjorte oplysninger berører retten til privatlivets fred mindre intensivt end behandling af fortrolige oplysninger. For så vidt har medlemsstaterne uden tvivl et større spillerum.

124.

Dette spillerum kan imidlertid ikke medføre, at undtagelserne til databeskyttelse begrunder en åbenbart uforholdsmæssig begrænsning af retten til privatlivets fred. En viderebehandling af personoplysninger, det er påvist er fejlagtige, kan således ikke være begrundet, fordi de er offentliggjort.

125.

Desuden tillader databeskyttelsesdirektivets artikel 13 ikke, at der fastsættes undtagelser fra alle direktivets bestemmelser. Undtagelserne skal derimod holde sig inden for rammerne af de grundlæggende krav til behandlingen i henhold til artikel 6, stk. 1, informations- og oplysningsrettighederne i henhold til artikel 10, artikel 11, stk. 1, og artikel 12, samt behandlingens offentlige tilgængelighed i henhold til artikel 21.

126.

Det fjerde spørgsmål skal derfor besvares med, at personregistre, som kun indeholder materiale, der som sådant har været offentliggjort i medierne, henhører under databeskyttelsesdirektivets anvendelsesområde.

127.

Også hvad angår det fjerde spørgsmål skal der imidlertid erindres om, at databeskyttelsesdirektivet ikke som sådant kan skabe forpligtelser for Satakunnan Markkinapörssi Oy og Satamedia Oy. Forpligtelser kan kun opstå på grundlag af national ret, som i givet fald skal fortolkes i overensstemmelse med databeskyttelsesdirektivet, men ikke contra legem ( 71 ).

128.

Jeg foreslår derfor Domstolen at besvare de præjudicielle spørgsmål således: