Conclusions
JULKISASIAMIEHEN RATKAISUEHDOTUS
ANTONIO TIZZANO
19 päivänä syyskuuta 2002 (1)
Asia C-101/01
Bodil Lindqvist
vastaan
Åklagarkammaren i Jönköping
(Göta Hovrättin esittämä ennakkoratkaisupyyntö)
Direktiivi 95/46/EY – Soveltamisala
1. Göta Hovrätt (Ruotsi) on 23.2.2001 tekemällään päätöksellä esittänyt yhteisöjen tuomioistuimelle seitsemän ennakkoratkaisukysymystä
yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24 päivänä lokakuuta 1995 annetun
Euroopan parlamentin ja neuvoston direktiivin 95/46/EY
(2)
(jäljempänä direktiivi 95/46/EY tai direktiivi) tulkinnasta. Kysymykset koskevat direktiivin soveltamisalaa, henkilötietojen
siirtämistä kolmansiin maihin, direktiivin yhteensopivuutta ilmaisunvapautta koskevien yleisten periaatteiden kanssa sekä
mahdollisuutta säätää rajoittavampia kansallisia säännöksiä kuin yhteisön oikeussäännöt.
Oikeussäännöt
Ihmisoikeuksien ja perusvapauksien suojaamiseksi tehty yleissopimus
2. Esillä olevan asian kannalta merkityksellisistä oikeussäännöistä on ensimmäisenä mainittava ihmisoikeuksien ja perusvapauksien
suojaamiseksi tehdyn eurooppalaisen yleissopimuksen 8 ja 10 artikla.
3. Tämän yleissopimuksen 8 artiklassa määrätään seuraavaa: 1. Jokaisella on oikeus nauttia yksityis- ja perhe-elämäänsä, kotiinsa ja kirjevaihtoonsa kohdistuvaa kunnioitusta.2. Viranomaiset eivät saa puuttua tämän oikeuden käyttämiseen, paitsi silloin kun laki sen sallii ja se on demokraattisessa
yhteiskunnassa välttämätöntä kansallisen ja yleisen turvallisuuden tai maan taloudellisen hyvinvoinnin vuoksi, tai epäjärjestyksen
ja rikollisuuden estämiseksi, terveyden tai moraalin suojaamiseksi, tai muiden henkilöiden oikeuksien ja vapauksien turvaamiseksi.
4. Yleissopimuksen 10 artiklassa määrätään seuraavaa: 1. Jokaisella on sananvapaus. Tämä oikeus sisältää vapauden pitää mielipiteitä sekä vastaanottaa ja levittää tietoja ja ajatuksia
alueellisista rajoista riippumatta ja viranomaisten siihen puuttumatta. Tämä artikla ei estä valtioita tekemästä radio-, televisio-
ja elokuvayhtiöitä luvanvaraisiksi.2. Koska näiden vapauksien käyttöön liittyy velvollisuuksia ja vastuuta, se voidaan asettaa sellaisten muodollisuuksien, ehtojen,
rajoitusten ja rangaistusten alaiseksi, joista on säädetty laissa ja jotka ovat välttämättömiä demokraattisessa yhteiskunnassa
kansallisen turvallisuuden, alueellisen koskemattomuuden tai yleisen turvallisuuden vuoksi, epäjärjestyksen tai rikollisuuden
estämiseksi, terveyden tai moraalin suojaamiseksi, muiden henkilöiden maineen tai oikeuksien turvaamiseksi, luottamuksellisten
tietojen paljastumisen estämiseksi, tai tuomioistuinten arvovallan ja puolueettomuuden varmistamiseksi.
Direktiivi 95/46/EY
5. Yhteisön säännöksistä kyseeseen tulee EY:n perustamissopimuksen 100 a artiklan (josta on tullut EY 95 artikla) perusteella
annettu direktiivi 95/46/EY, jonka tarkoituksena on edistää henkilötietojen vapaata liikkuvuutta yhteensovittamalla niitä
kansallisia lakeja, asetuksia ja hallinnollisia määräyksiä, jotka koskevat luonnollisten henkilöiden suojaa tällaisia tietoja
käsiteltäessä.
6. Direktiivin perusajatuksena on se, että
henkilötietojen käsittelyä koskevat jäsenvaltioiden väliset erot yksilöiden oikeuksien ja vapauksien suojassa, erityisesti
oikeudessa yksityisyyteen, voivat estää kyseisten tietojen siirron tietyn jäsenvaltion alueelta toisen jäsenvaltion alueelle
ja että nämä erot voivat muodostua esteeksi monelle yhteisön taloudelliselle toiminnalle, vääristää kilpailua ja estää viranomaisia
suorittamasta yhteisön oikeuden mukaisia velvollisuuksiaan (seitsemäs perustelukappale). Yhteisöjen lainsäätäjä on tämän vuoksi katsonut, että
henkilötietojen liikkuvuuden esteiden poistamiseksi yksilöiden oikeuksien ja vapauksien suojan tason kyseisten tietojen käsittelyssä
on oltava sama kaikissa jäsenvaltioissa. Yhteisöjen lainsäätäjän mukaan tämän
henkilötietojen vapaata liikkuvuutta koskevan tavoitteen saavuttaminen edellyttää lainsäädäntöjen yhteensovittamista yhteisön
säännöksillä, koska tätä sisämarkkinoiden kannalta erityisen tärkeää tavoitetta ei voida saavuttaa ainoastaan jäsenvaltioiden
toiminnalla ottaen huomioon erityisesti asiaan sovellettavien kansallisten lainsäädäntöjen tämänhetkiset eroavaisuudet ja
tarve yhteensovittaa jäsenvaltioiden lainsäädännöt, jotta henkilötietojen kansainvälistä kulkua säänneltäisiin yhdenmukaisella
tavalla ja perustamissopimuksen 7 a artiklassa tarkoitetun sisämarkkinoiden tavoitteen mukaisesti (kahdeksas perustelukappale). Yhteensovittavien säännösten antamisen jälkeen,
ottaen huomioon kansallisten lainsäädäntöjen lähentymisestä aiheutuneen tietosuojan vastaavuuden, jäsenvaltiot eivät enää
voi asettaa esteitä henkilötietojen vapaalle liikkuvuudelle välillään yksilöiden oikeuksien ja vapauksien, erityisesti yksityisyyttä
koskevan oikeuden, suojan perusteella (yhdeksäs perustelukappale).
7. Yhteisöjen lainsäätäjä on katsonut, että saman tietosuojan tason turvaaminen kaikissa jäsenvaltioissa on taattava yksilön
perusoikeudet turvaten (kolmas perustelukappale). Näin se on erityisesti painottanut sitä, että
henkilötietojen käsittelyä koskevien kansallisten lainsäädäntöjen tavoitteena on taata perusoikeuksien ja -vapauksien kunnioittaminen,
erityisesti yksityisyyttä koskevan oikeuden kunnioittaminen, joka tunnustetaan myös ihmisoikeuksien ja perusvapauksien suojaamiseksi
tehdyn Euroopan yleissopimuksen 8 artiklassa ja yhteisön oikeuden yleisissä periaatteissa. Tämän vuoksi se on katsonut, että
lainsäädäntöjen lähentäminen ei saa johtaa lainsäädännöllä turvattavan tietosuojan heikentymiseen, vaan sillä on päinvastoin
varmistettava tietosuojan korkea taso yhteisössä (10. perustelukappale).
8. Direktiivin 1 artiklaa, jossa määritellään direktiivin tavoite, on siis luettava näiden perustelujen valossa. Siinä säädetään
seuraavaa: 1. Tämän direktiivin mukaisesti jäsenvaltioiden on henkilötietojen käsittelyssä turvattava yksilöille heidän perusoikeutensa
ja -vapautensa ja erityisesti heidän oikeutensa yksityisyyteen.2. Jäsenvaltiot eivät voi rajoittaa tai kieltää henkilötietojen vapaata liikkuvuutta jäsenvaltioiden välillä syistä, jotka
liittyvät 1 kohdan mukaisesti turvattavaan suojaan.
9. Direktiivin 2 artiklassa säädetyistä määritelmistä on esillä olevassa asiassa otettava huomioon erityisesti seuraavat: [Tässä direktiivissä tarkoitetaan]
a) henkilötiedoilla kaikenlaisia tunnistettua tai tunnistettavissa olevaa luonnollista henkilöä (
rekisteröity) koskevia tietoja; tunnistettavissa olevana pidetään henkilöä, joka voidaan suoraan tai epäsuorasti tunnistaa, erityisesti
henkilönumeron taikka yhden tai useamman hänelle tunnusomaisen fyysisen, fysiologisen, psyykkisen, taloudellisen, kulttuurillisen
tai sosiaalisen tekijän perusteella,
b) henkilötietojen käsittelyllä (
käsittely) kaikenlaisia sellaisia toimintoja tai toimintojen kokonaisuuksia, joita kohdistetaan henkilötietoihin joko automaattisen
tietojenkäsittelyn avulla tai manuaalisesti, kuten tietojen kerääminen, tallentaminen, järjestäminen, säilyttäminen, muokkaaminen
tai muuttaminen, tiedon haku, kysely, käyttö, luovuttaminen siirtämällä, levittämällä tai asettamalla muutoin saataville,
yhteensovittaminen tai yhdistäminen sekä suojaaminen, poistaminen tai tuhoaminen,
c) henkilötietojen rekisteröintijärjestelmällä (
rekisteröintijärjestelmä) kaikkia sellaisia järjestettyjä henkilötietojen kokoelmia, joista tiedot ovat saatavilla tietyin perustein, oli kokoelma
sitten keskitetty, hajautettu tai toiminnallisin tai maantieteellisin perustein jaettu,
d) rekisterinpitäjällä luonnollista tai oikeushenkilöä, julkista viranomaista, virastoa tai muuta toimielintä, joka, yksin tai yhdessä toisten kanssa,
määrittelee henkilötietojen käsittelyn tarkoituksen ja keinot; jos käsittelyn tarkoitus ja keinot määritellään kansallisilla
tai yhteisön laeilla tai asetuksilla, rekisterinpitäjä tai erityiset perusteet rekisterinpitäjän nimeämiseksi voidaan vahvistaa
kansallisten tai yhteisön säännösten mukaisesti.
10. Direktiivin 3 artiklassa säädetään direktiivin soveltamisalasta ja sen 1 kohdassa täsmennetään, että direktiiviä
sovelletaan osittain tai kokonaan automatisoituun tietojenkäsittelyyn sekä sellaisten henkilötietojen manuaaliseen käsittelyyn,
jotka muodostavat rekisterin osan tai joiden on tarkoitus muodostaa rekisterin osa. Sen 2 kohdassa säädetään, että direktiiviä ei sovelleta henkilötietojen käsittelyyn
- ─
joka suoritetaan sellaisessa toiminnassa, joka ei kuulu yhteisön oikeuden soveltamisalaan, kuten toiminta, josta on määrätty
Euroopan unionista tehdyn sopimuksen V ja VI osastossa, ja kaikissa tapauksissa käsittely, joka koskee yleistä turvallisuutta,
puolustusta, valtion turvallisuutta (myös valtion taloudellista hyvinvointia, kun käsittelyoperaatio on sidoksissa valtion
turvallisuutta koskeviin kysymyksiin) ja rikosoikeuden alalla tapahtuvaa valtion toimintaa
─ tai
jonka luonnollinen henkilö suorittaa yksinomaan henkilökohtaisessa tai kotitalouttaan koskevassa toiminnassa.
(3)
11. Tässä yhteydessä on lisäksi mainittava tietyt direktiivin II luvussa olevat säännökset (yleiset säännöt henkilötietojen käsittelyn
laillisuudesta, 5─21 artikla), kuten sen 7 artikla, jossa säädetään tapauksista, joissa
henkilötietoja voidaan käsitellä. Erityisesti mainittakoon, että sellaisten muiden tilanteiden lisäksi, joista ei ole kysymys nyt esillä olevassa asiassa,
sen a kohdassa säädetään, että henkilötietoja voidaan käsitellä
jos rekisteröity on yksiselitteisesti antanut suostumuksensa.
12. Direktiivin 8 artiklassa on säädetty erityisestä järjestelmästä arkaluontoisia tietoja varten. Sen 1 kohdassa säädetään periaatteesta,
jonka mukaan
jäsenvaltioiden on kiellettävä sellaisten henkilötietojen käsittely, jotka koskevat rotua tai etnistä alkuperää, poliittisia
mielipiteitä, uskonnollista tai filosofista vakaumusta tai ammattiliittoon kuulumista, sekä terveyteen ja seksuaaliseen käyttäytymiseen
liittyvien tietojen käsittely. Muiden poikkeusten, joilla ei ole merkitystä esillä olevassa asiassa, rinnalla 8 artiklan 2 kohdassa säädetään kuitenkin,
että tätä säännöstä ei sovelleta, jos
rekisteröity on antanut nimenomaisen suostumuksensa kyseiseen käsittelyyn, paitsi jos jäsenvaltion lainsäädännössä säädetään,
että 1 kohdassa tarkoitettua kieltoa ei voida poistaa rekisteröidyn suostumuksella.
13. Henkilötietojen käsittelyyn liittyvän suojelun tarpeen ja ilmaisunvapauden periaatteen yhteensovittamiseksi direktiivin 9 artiklassa
säädetään, että
jäsenvaltioiden on säädettävä ainoastaan journalistisia tarkoituksia tai taiteellisen tai kirjallisen ilmaisun tarkoituksia
varten toteutettua henkilötietojen käsittelyä varten poikkeuksista ja vapautuksista tästä luvusta, IV luvusta ja VI luvusta,
ainoastaan jos ne osoittautuvat välttämättömiksi yksityisyyttä koskevan oikeuden ja ilmaisuvapautta koskevien sääntöjen yhteensovittamisessa.
14. Henkilötietojen käsittelyn laillisuutta koskevien yleisten sääntöjen osalta on esillä olevassa asiassa lisäksi muistettava,
että direktiivin 18 artiklan mukaan rekisteröinnistä vastaavan on etukäteen ilmoitettava henkilötietojen käsittelystä jäsenvaltioiden
tätä tarkoitusta varten perustamille valvontaviranomaisille, ellei toisin ole säädetty.
15. Lopuksi on vielä viitattava direktiivin 25 artiklaan, jonka mukaan
käsiteltävien tai siirron jälkeen käsiteltäviksi tarkoitettujen henkilötietojen siirto kolmanteen maahan voidaan suorittaa
ainoastaan, jos kyseisessä kolmannessa maassa taataan tietosuojan riittävä taso (1 kohta).
Taattavan tietosuojan tason riittävyyttä on arvioitava kaikkien tiettyyn siirtoon tai siirtojen ryhmään liittyvien olosuhteiden
osalta; erityisesti on otettava huomioon tietojen luonne, suunnitellun käsittelyn tai suunniteltujen käsittelyjen tarkoitus
ja kestoaika, alkuperämaa ja lopullinen kohde, kyseisessä kolmannessa maassa voimassa olevat yleiset tai alakohtaiset oikeussäännöt
sekä ammattisäännöt ja tässä maassa noudatettavat turvatoimet (2 kohta).
Ruotsin lainsäädäntö
16. Ruotsi on pannut direktiivin 95/46/EY täytäntöön Personuppgiftslagilla (henkilötietolaki).
(4)
Esillä olevan asian kannalta on olennaista huomata, että tämän lain 49 §:n 1 momentin b─d kohdassa rikollisina tekoina rangaistaviksi
on säädetty se, että henkilötietoja koskevaa automaattista tietojenkäsittelyä ei ole ilmoitettu toimivaltaiselle valvontaviranomaiselle
(Datainspektion), arkaluontoisten tietojen käsittely, terveydentilaan liittyvät tiedot mukaan lukien, ja luvattoman käsittelyn
kohteena olleiden henkilötietojen siirtäminen yhteisön ulkopuolisiin maihin. Lisäksi mainittakoon, että Personuppgiftslagin
valmistelutöistä käy ilmi, että lain soveltamisalan ei ole tarkoitettu eroavan direktiivin soveltamisalasta.
Tosiseikat ja kansallinen oikeudenkäynti
17. Bodil Lindqvist oli syksyllä 1998 tavanomaisten työtehtäviensä ohessa työskennellyt vapaaehtoisena työntekijänä Alsedan seurakunnassa
Ruotsissa. Hän oli laatinut näiden tehtävien yhteydessä Internet-kotisivun, jotta seurakuntalaiset saisivat helposti tarvitsemansa
tiedot, ja laittanut sivulle tietoja itsestään, aviopuolisostaan ja 16:sta työtoveristaan seurakunnassa mainiten heidät joko
etu- tai sekä etu- että sukunimeltä. Kyseisellä kotisivulla työtoverien työtehtäviä ja vapaa-ajan harrastuksia oli kuvattu
leikkisin sanakääntein, joissakin tapauksissa oli kuvattu heidän perhesuhteitaan ja ilmoitettu heidän puhelinnumeronsa ja
muita henkilökohtaisia tietoja. Sivulla ilmoitettiin muun muassa siitä, että eräs työtovereista oli loukannut jalkansa ja
oli tämän vuoksi osa-aikaisella sairaslomalla. Kotisivulta oli pääsy Ruotsin kirkon kotisivulle, jolla oli myös linkki kyseessä
olevalle kotisivulle, koska Lindqvist oli tätä pyytänyt.
18. Lindqvist ei ollut ilmoittanut kotisivusta työtovereilleen, joilta ei näin ollut myöskään pyydetty lupaa heitä koskevien tietojen
käsittelyyn. Kotisivun luomisesta ei ollut myöskään ilmoitettu Datainspektionille eikä sille näin ollut ilmoitettu henkilötietojen
käsittelystä. Kotisivu ei kuitenkaan ollut olemassa kovin kauan, koska Lindqvist oli päättänyt poistaa sen välittömästi saatuaan
tietää, että tietyt hänen työtovereistaan eivät hyväksyneet tätä hanketta.
19. Lindqvistiä vastaan nostettiin Personuppgiftslagin 49 §:n 1 momentin b─d kohdassa tarkoitettu syyte kotisivun perustamisesta
siitä huolimatta, että sivu oli hyvin pian poistettu. Tässä oikeudenkäynnissä Lindqvistiä syytetään siitä, että hän on käsitellyt
henkilötietoja automaattisesti ilmoittamatta siitä kirjallisesti Datainspektionille, että hän on käsitellyt arkaluonteisia
henkilötietoja, eli niitä, jotka liittyivät työtoverin loukkaantumiseen ja tähän perustuvaan osa-aikaiseen sairaslomaan, ja
että hän on siirtänyt yhteisön ulkopuoliseen maahan henkilötietoja, joita on käsitelty ilman asianomaisen henkilön suostumusta.
20. Lindqvist myönsi syytteessä esitetyt tosiseikat, mutta kiisti syyllistyneensä rikollisena tekona rangaistavaan menettelyyn.
Kansallinen tuomioistuin ei hyväksynyt hänen perustelujaan ja tuomitsi hänet sakkorangaistukseen tuomiolla, johon Lindqvist
haki muutosta Hovrättissä.
21. Esillä olevassa asiassa on väitetty, että Ruotsin oikeussäännöt eivät ole yhteensopivia direktiivin säännösten kanssa, ja
esitetty näitä säännöksiä koskevia hienosyisiä tulkintakysymyksiä. Hovrätt on tämän vuoksi päättänyt lykätä asian käsittelyä
esittääkseen yhteisöjen tuomioistuimelle seuraavat ennakkoratkaisukysymykset: 1) Onko henkilön mainitseminen ─ nimeltä tai nimeltä ja puhelinnumeron kanssa ─ niin sanotulla Internet-kotisivulla direktiivin
soveltamisalaan kuuluvaa menettelyä? Onko Internet-kotisivun perustaminen ja henkilöiden ja heidän työtehtäviensä ja vapaa-ajan
harrastustensa kuvaileminen tällaisella sivulla osittain tai kokonaan automatisoitua tietojenkäsittelyä?2) Jos vastaus edelliseen kysymykseen on kieltävä, voidaanko menettelyn, jossa Internet-kotisivulla laaditaan noin 15 henkilön
osalta erityiset sivut sivujen välisine linkkeineen, jotka mahdollistavat haun etunimen perusteella, katsoa olevan sellaisten
henkilötietojen [muuta] käsittelyä, jotka muodostavat rekisterin osan tai joiden on tarkoitus muodostaa rekisterin osa 3 artiklan
1 kohdassa tarkoitetulla tavalla?Jos vastaus jompaankumpaan kysymykseen on myöntävä, Hovrätt esittää vielä seuraavat kysymykset:3) Voidaanko edellä kuvatunlaisen menettelyn, jossa tietoja työtovereista esitetään yksityisellä kotisivulla, johon on kuitenkin
yleinen pääsy kaikilla kotisivun osoitteen tuntevilla, katsoa jäävän direktiivin soveltamisalan ulkopuolelle jonkin 3 artiklan
2 kohdassa mainitun poikkeuksen perusteella?4) Onko kotisivulla esitetty tieto siitä, että nimeltä mainittu työtoveri on loukannut jalkansa ja on osa-aikaisella sairaslomalla,
sellainen terveyteen liittyvä henkilötieto, jota ei 8 artiklan 1 kohdan mukaan saa käsitellä?5) Direktiivin mukaan henkilötietojen siirto kolmansiin maihin on tietyissä tapauksissa kiellettävä. Jos henkilö Ruotsissa
tietokoneen avulla laittaa henkilötietoja kotisivulle, joka on luotu palvelimelle Ruotsissa ─ jolloin henkilötiedot ovat kolmansien
maiden kansalaisten käytettävissä ─, onko kyseessä direktiivissä tarkoitettu tietojen siirto kolmanteen maahan? Onko vastaus
sama, vaikka kenenkään ei kolmannessa maassa tiedetä todellisuudessa tutustuneen tietoihin tai vaikka kyseinen palvelin sijaitsee
fyysisesti kolmannessa maassa?6) Voidaanko direktiivin säännösten esillä olevan kaltaisessa tapauksessa katsoa merkitsevän rajoitusta, joka on vastoin yleistä
ilmaisunvapauden periaatetta taikka muita Euroopan unionissa voimassa olevia vapauksia ja oikeuksia, joista määrätään muun
muassa ihmisoikeuksien ja perusvapauksien suojaamiseksi tehdyn yleissopimuksen 10 artiklassa?Hovrätt esittää lopuksi seuraavan kysymyksen:7) Voiko jäsenvaltiossa olla voimassa nyt esitetyissä kysymyksissä kuvatussa tilanteessa laajempi henkilötietosuoja tai voiko
sen soveltamisala olla direktiivin soveltamisalaa laajempi, vaikka kysymys ei olisi yhdestäkään 13 artiklassa tarkoitetuista
tapauksista?
22. Lindqvist, Ruotsin kuningaskunta, Alankomaiden kuningaskunta, Yhdistynyt kuningaskunta ja komissio ovat esittäneet huomautuksensa
tässä asiassa yhteisöjen tuomioistuimessa.
Oikeudellinen arviointi
Alustavia huomioita
23. Kansallinen tuomioistuin on esittänyt yhteisöjen tuomioistuimelle useita kysymyksiä, jotka liittyvät direktiivin soveltamisalaan,
sen 8 ja 25 artiklan soveltamiseen, direktiivin säännösten pätevyyteen suhteessa yhteisön oikeuden yleisiin periaatteisiin
ja jäsenvaltioiden mahdollisuuteen taata parempi suoja kuin se, mikä direktiivillä taataan.
24. Kansallisella tuomioistuimella ei direktiivin soveltamisalan osalta ole epäselvyyttä siitä, että esillä olevassa asiassa on
kyse henkilötietojen käsittelystä eivätkä asian osapuolet ole esittäneet epäilyjä tältä osin. Asiassa on täysin selvää, että:
- ─
Lindqvistin työtovereita koskevat tiedot (etunimi, sukunimi, puhelinnumero, työtehtävä, harrastukset jne.) ovat henkilötietoja,
jotka kuuluvat
kaikenlaisia tunnistettua tai tunnistettavissa olevaa luonnollista henkilöä koskevien tietojen kategoriaan (2 artiklan a kohta)
- ─
tällaisten tietojen laittaminen kyseessä olevan kaltaiselle kotisivulle on
henkilötietojen käsittelyä, koska direktiivissä tälle käsitteelle annetaan erityisen laaja sisältö, johon kuuluu
kaikenlaisia sellaisia toimintoja tai toimintojen kokonaisuuksia, joita kohdistetaan henkilötietoihin joko automaattisen tietojenkäsittelyn
avulla tai manuaalisesti, kuten tietojen kerääminen, tallentaminen, järjestäminen, säilyttäminen, muokkaaminen tai muuttaminen,
tiedon haku, kysely, käyttö, luovuttaminen siirtämällä, levittämällä tai asettamalla muutoin saataville, yhteensovittaminen
tai yhdistäminen sekä suojaaminen, poistaminen tai tuhoaminen (2 artiklan b kohta).
25. Kaikenlainen henkilötietojen käsittely ei kuitenkaan kuulu direktiivin soveltamisalaan. Sen 3 artiklan 1 kohdassa säädetään,
että direktiiviä sovelletaan ainoastaan
osittain tai kokonaan automatisoituun tietojenkäsittelyyn tai
sellaisten henkilötietojen manuaaliseen käsittelyyn, jotka muodostavat rekisterin osan tai joiden on tarkoitus muodostaa rekisterin
osa. Tämän artiklan 2 kohdassa säädetään yleisemmin, ettei direktiiviä sovelleta henkilötietojen käsittelyyn,
joka suoritetaan sellaisessa toiminnassa, joka ei kuulu yhteisön oikeuden soveltamisalaan
(5)
(ensimmäinen luetelmakohta), tai käsittelyyn,
jonka luonnollinen henkilö suorittaa yksinomaan henkilökohtaisessa tai kotitalouttaan koskevassa toiminnassa (toinen luetelmakohta).
26. Näillä säännöksillä direktiivin soveltamisalaan tehdyt rajoitukset ovat siis kansallisen tuomioistuimen kolmen ensimmäisen
kysymyksen kohteena. Se haluaa siis selvittää,
i) onko kyseessä olevien tietojen laittaminen kotisivulle henkilötietojen
osittain tai kokonaan automatisoitua tietojenkäsittelyä (ensimmäinen kysymys) tai
sellaisten henkilötietojen manuaalista käsittelyä, jotka muodostavat rekisterin osan tai joiden on tarkoitus muodostaa rekisterin
osa (toinen kysymys)
ii) jääkö kyseessä olevan kaltainen henkilötietojen käsittely kuitenkin direktiivin soveltamisalan ulkopuolelle, koska se
suoritetaan sellaisessa toiminnassa, joka ei kuulu yhteisön oikeuden soveltamisalaan tai koska käsittelyn on suorittanut
luonnollinen henkilö yksinomaan henkilökohtaisessa tai kotitalouttaan koskevassa toiminnassa (kolmas kysymys).
27. Huolimatta siitä, että kansallinen tuomioistuin on esittänyt kysymyksensä tässä järjestyksessä, kolmas kysymys on syytä käsitellä
ensin. Direktiivin 3 artiklan 2 kohdan muotoilun yleisyyden vuoksi vaikuttaa täysin ilmeiseltä, että henkilötietojen osittain
tai kokonaan automatisoitu tietojenkäsittely tai sellaisten henkilötietojen manuaalinen käsittely, jotka muodostavat rekisterin
osan tai joiden on tarkoitus muodostaa rekisterin osa, eivät kuulu direktiivin soveltamisalaan, jos käsittely suoritetaan
sellaisessa toiminnassa, joka ei kuulu yhteisön oikeuden soveltamisalaan tai koska käsittelyn on suorittanut luonnollinen
henkilö yksinomaan henkilökohtaisessa tai kotitalouttaan koskevassa toiminnassa. Jos näin on, myöntävä vastaus kolmanteen
kysymykseen merkitsee sitä, ettei kahteen ensimmäiseen kysymykseen tarvitse vastata. Asian tarkastelu aloitetaan siis tästä
kysymyksestä.
Kolmas kysymys
Asianosaisten lausumat
28. Kaikki asian käsittelyyn osallistuneet osapuolet ovat Yhdistynyttä kuningaskuntaa lukuun ottamatta esittäneet huomautuksia
tästä kysymyksestä. Yhdistynyt kuningaskunta on esittänyt huomautuksensa ainoastaan viidennen ja kuudennen kysymyksen osalta.
29. Lindqvist katsoo, että ainoastaan elinkeinotoiminnassa suoritettu henkilötietojen käsittely kuuluu direktiivin soveltamisalaan,
koska hänen mukaansa direktiivi ei koske käsittelyä (josta on kyse esillä olevassa asiassa), joka on suoritettu täysin vastikkeetta
ja täysin taloudellista intressiä omaavan toiminnan ulkopuolella. Lindqvist toteaa, että vastakkaisessa tapauksessa direktiivin
pätevyys olisi asetettava kyseenalaiseksi, koska EY 95 artiklassa (jonka perusteella direktiivi on annettu) ei pyritä sääntelemään
yhteisön tasolla toimintaa, joka ei millään tavoin liity sisämarkkinoiden toteuttamistavoitteen saavuttamiseen. Tällaisen
toiminnan sääntely tämän perustamissopimuksen artiklan perusteella annetun yhteensovittavan direktiivin avulla olisi Lindqvistin
mukaan EY 5 artiklassa vahvistetun periaatteen vastaista, koska tämän artiklan mukaan
yhteisön toiminnassa ei saada ylittää sitä, mikä on tarpeen tämän sopimuksen tavoitteiden saavuttamiseksi.
30. Ruotsin hallitus näyttää myös olevan sillä kannalla, vaikkakin epäilyksiä esittäen, että henkilötietojen ilmoittaminen kotisivulla,
jonka luonnollinen henkilö on perustanut omaa ilmaisunvapauttaan käyttäen ilman, että tämä liittyisi millään tavoin minkään
tyyppiseen ammatilliseen tai taloudelliseen toimintaan, ei kuulu yhteisön direktiivin soveltamisalaan. Direktiivin 3 artiklan
2 kohdan toisen luetelmakohdan osalta Ruotsin hallitus katsoo kuitenkin, että henkilötietojen levittämistä Internetin välityksellä
ei voida pitää yksinomaan henkilökohtaisena tai kotitaloutta koskevana toimintana, koska tiedot välitetään tällä tavoin ennalta
määrittelemälle joukolle henkilöitä.
31. Alankomaiden hallitus ei puolestaan katso, että kyseessä oleva tietojen käsittely jäisi direktiivin soveltamisalan ulkopuolelle
3 artiklan 2 kohdassa asetettujen kahden rajoituksen vuoksi. Alankomaiden hallitus ei myöskään katso, että kyseessä oleva
toiminta olisi yksinomaan henkilökohtaista tai kotitaloutta koskevaa, koska henkilötietoja levitetään näin määrittelemättömälle
joukolle henkilöitä, joita ei voida ennalta yksilöidä.
32. Komission mukaan direktiivin soveltamisalaa olisi tulkittava laajasti siten, että sen alaan pitäisi katsoa kuuluvan kyseessä
olevan kaltainen toiminta. Komissio viittaa 3 artiklan 2 kohdan ensimmäiseen luetelmakohtaan korostaakseen erityisesti sitä,
että yhteisön oikeussäännöillä ei pyritä sääntelemään ainoastaan taloudellista toimintaa, ja toteaa muun muassa, että EY 6 artiklassa
asetetaan velvoite kunnioittaa perusoikeuksia yhteisön oikeuden yleisinä periaatteina. Tämän jälkeen se huomauttaa, että kuten
direktiivin perustelukappaleissa todetaan, direktiivillä pyritään myös myötävaikuttamaan yhteiskunnalliseen kehitykseen ja
yksilöiden hyvinvointiin, vaikka pois ei voidakaan sulkea sitä, että direktiivin tarkoituksena on säännellä henkilötietojen
vapaata liikkuvuutta yhteiskunnallisena toimintana, jota harjoitetaan sisämarkkinoiden yhdentymisen ja toiminnan puitteissa.
Komission mukaan nyt kyseessä oleva toiminta kuuluu yhteisön oikeuden alaan senkin vuoksi, että Lindqvistiä on pidettävä EY 49 artiklassa
tarkoitettuna palvelujen, eli Internet-palvelujen (eli televiestintäpalvelujen) vastaanottajana.
(6)
Lopuksi komissio toteaa vielä, että esillä olevassa asiassa ei ole kyse ainoastaan henkilökohtaisesta tai kotitalouteen liittyvästä
toiminnasta siksi, että kotisivulle pääsee kuka tahansa hakukoneen avulla eikä suinkaan ainoastaan sellainen henkilö, joka
tuntee kotisivun osoitteen, ja siksi, että tällaisena toimintana voidaan määritelmän mukaan pitää ainoastaan sellaista toimintaa,
joka liittyy sen henkilön yksityiselämään, joka tietoja käsittelee.
Arviointi
33. Kuten useita kertoja on jo todettu, esillä olevassa asiassa on selvitettävä, jääkö kyseessä oleva henkilötietojen käsittely
direktiivin 3 artiklan 2 kohdassa tarkoitetulla tavalla sen soveltamisalan ulkopuolelle sillä perusteella, että käsittely
on suoritettu
sellaisessa toiminnassa, joka ei kuulu yhteisön oikeuden soveltamisalaan tai koska käsittelyn on suorittanut
luonnollinen henkilö yksinomaan henkilökohtaisessa tai kotitalouttaan koskevassa toiminnassa.
34. Jälkimmäisen perusteen osalta asiassa voidaan yhtyä komission ja Ruotsin sekä Alankomaiden hallitusten kantaan, jonka mukaan
kyseessä olevan kaltaista käsittelyä ei voida pitää yksinomaan
henkilökohtaisena tai kotitaloutta koskevana. Tähän kategoriaan kuuluu ainoastaan kirjeenvaihdon tai osoitteiston pitämisen kaltainen toiminta (jotka on mainittu esimerkkeinä
direktiivin 12. perustelukappaleessa), eli siis selvästi yksityinen ja rajattu toiminta, joka on tarkoitettu pysymään asianomaisten
henkilöiden henkilökohtaisessa elämänpiirissä tai kodin piirissä. Näin toimintaa, joka on luonteeltaan selkeästi sosiaalista,
kuten Lindqvistin seurakunnassa harjoittama toiminta, ei voida pitää tällaisena senkään vuoksi, että Lindqvist on käsitellyt
tietoja selvästi oman henkilökohtaisen elämänpiirinsä ja kotinsa ulkopuolella, kun hän on ilmoittanut henkilötietoja kotisivulla,
johon kenellä tahansa on pääsy mistä tahansa maailmassa, koska yleisesti tunnetulla Ruotsin kirkon kotisivulla on linkki tälle
kotisivulle (ja koska hakukoneen avulla sivu on joka tapauksessa helposti löydettävissä).
35. Lindqvistin kanssa voidaan kuitenkin olla samaa mieltä siitä, että kyseessä oleva käsittely on suoritettu
sellaisessa toiminnassa, joka ei kuulu yhteisön oikeuden soveltamisalaan.
36. Lindqvist on perustanut kyseessä olevan kotisivun ilman minkäänlaista tarkoitusta hyötyä siitä taloudellisesti ja ainoastaan
seurakuntatoiminnan tukemiseksi vastikkeetta ja ilman, että se olisi liittynyt hänen työtehtäviensä suorittamiseen. Henkilötietojen
käsittely, josta tässä on kyse, on siis suoritettu yleishyödyllisessä toiminnassa, jolla ei ole minkäänlaista yhteyttä (tai
ainakaan välitöntä yhteyttä) perustamissopimuksessa turvattujen perusvapauksien käyttämiseen eikä yhteisön oikeusjärjestelmässä
säännellä sitä millään tavoin. Näin ollen on katsottava, että käsittely on suoritettu sellaisen toiminnan yhteydessä, joka
ei kuulu direktiivin 3 artiklan 2 kohdassa tarkoitetulla tavalla yhteisön oikeuden soveltamisalaan.
37. Komission kanta vaikuttaa muutenkin väkinäiseltä siltä osin kuin sen mukaan kyseessä oleva toiminta kuuluu yhteisön oikeuden
soveltamisalaan, koska sitä suorittaessaan Lindqvist on komission näkemyksen mukaan Internetin käyttöön liittyvien lukuisten
palvelujen (televiestintäpalvelujen) vastaanottaja ja käyttää näin ollen EY 49 artiklalla taattuja oikeuksia. Ennakkoratkaisupyynnöstä
ja oikeudenkäynnin asiakirja-aineistosta ei tule esiin yhtäkään sellaista valtioiden välistä tekijää, joka voisi perustella
EY 49 artiklan soveltamisen esillä olevaan asiaan,
(7)
minkä lisäksi on täysin ilmeistä, että direktiivin 3 artiklan 2 kohdasta tulisi sisällöllisesti täysin merkityksetön, jos
yhteisön oikeuden soveltamisalaan pitäisi saattaa kaikki toiminta, myös yleishyödyllinen, jonka harjoittamisessa käytetään
televiestintäpalveluja tai muun tyyppisiä palveluja. Tätä logiikkaa seuraten direktiivin alaan kuuluviksi olisi katsottava
Euroopan unionista tehdyn sopimuksen V ja VI osastossa tarkoitetut toiminnat aina kun niiden suorittaminen tapahtuu tällaisia
palveluja käyttäen, vaikka direktiivin 3 artiklan 2 kohdassa ne nimenomaisesti mainitaan esimerkkeinä toiminnasta, joka ei
kuulu yhteisön oikeuden soveltamisalaan.
38. Väkinäiseltä vaikuttaa myös se komission väite, jonka avulla se yrittää saattaa Lindqvistin toiminnan direktiivin soveltamisalaan
sillä perusteella, ettei direktiivillä pyritä sääntelemään ainoastaan taloudellista toimintaa, vaan sen tavoitteina olisi
myös yhteiskunnallisten vaatimusten täyttäminen ja perusoikeuksien suojaaminen.
39. Tältä osin todettakoon, että direktiivi on annettu EY:n perustamissopimuksen 100 a artiklan perusteella henkilötietojen vapaan
liikkuvuuden edistämiseksi yhteensovittamalla niitä kansallisia lakeja, asetuksia ja hallinnollisia määräyksiä, jotka koskevat
luonnollisten henkilöiden suojaa tällaisia tietoja käsiteltäessä. Yhteisön lainsäätäjä on halunnut vahvistaa suojan tason,
joka on sama kaikissa jäsenvaltioissa poistaakseen henkilötietojen liikkuvuuden esteet, jotka johtuvat jäsenvaltioiden välisistä
eroista yksilöiden oikeuksien ja vapauksien suojassa, erityisesti oikeudessa yksityisyyteen (seitsemäs ja kahdeksas perustelukappale).
(8)
Yhteensovittavan direktiivin antamisen jälkeen,
ottaen huomioon kansallisten lainsäädäntöjen lähentymisestä aiheutuneen tietosuojan vastaavuuden, jäsenvaltiot eivät enää
voi asettaa esteitä henkilötietojen vapaalle liikkuvuudelle välillään yksilöiden oikeuksien ja vapauksien, erityisesti yksityisyyttä
koskevan oikeuden, suojan perusteella (yhdeksäs perustelukappale).
40. On totta, että määritellessään saman suojan tasoa kaikissa jäsenvaltioissa yhteisön lainsäätäjä on ottanut huomioon tarpeen
osallistua taloudelliseen ja sosiaaliseen kehitykseen ja (ennen kaikkea)
yksilöiden perusoikeuksien turvaamiseen (toinen ja kolmas perustelukappale) pyrittäessä varmistamaan suojan korkea taso yhteisössä (10. perustelukappale). Näiden
päämäärien saavuttaminen riippuu kuitenkin direktiivin ensisijaisen tavoitteen toteutumisesta, eli henkilötietojen vapaan
liikkuvuuden edistämisestä, koska se on sisämarkkinoiden kannalta erityisen tärkeää (kahdeksas perustelukappale).
41. Taloudellinen ja yhteiskunnallinen kehitys ja perusoikeuksien turvaaminen ovat tärkeitä arvoja ja vaatimuksia, jotka yhteisön
lainsäätäjä on ottanut huomioon rajatessaan yhteensovittamista edellyttävien säännösten alaa sisämarkkinoiden toteutumisen
ja niiden toiminnan edistämiseksi, mutta ne eivät ole direktiivin varsinaisia tavoitteita. Ja päinvastoin, jos olisi katsottava,
että direktiivillä pyritään suojaamaan yksilöitä henkilötietojen käsittelyssä siitäkin huolimatta, että tavoitteena on tällaisten
tietojen vapaan liikkuvuuden edistäminen, tämän johdosta sen soveltamisalaan pitäisi katsoa kuuluviksi sellainenkin tietojen
käsittely, joka suoritetaan toiminnassa, jolla on ehkä yhteiskunnallista merkitystä, mutta jolla ei ole mitään yhteyttä sisämarkkinoiden
luomiseen ja toimintaan.
42. Toisaalta, kuten Lindqvist on todennut, jos direktiivillä katsotaan olevan henkilötietojen vapaata liikkuvuutta sisämarkkinoilla
koskevan tavoitteen lisäksi muita itsenäisiä tavoitteita, jotka liittyvät sosiaalisten päämäärien asettamiin vaatimuksiin
tai perusoikeuksien suojaan (erityisesti yksityiselämän suojaan), direktiivin pätevyys jouduttaisiin asettamaan kyseenalaiseksi,
koska sen oikeusperusta olisi tässä tapauksessa virheellinen. Perustamissopimuksen 100 a artiklaa ei voida käyttää perusteena
toimille, jotka ylittävät tässä säännöksessä mainitut tavoitteet, eli toimille, joiden perusteena ei olisi sisämarkkinoiden
luomisen ja toiminnan edistämistavoite.
43. Melko hiljattain yhteisöjen tuomioistuimella on ollut tilaisuus selventää kantaansa oikeusperustan puuttumista koskevassa
tilanteessa, kun se totesi direktiivin 98/43/EY
(9)
kumonneessa tuomiossaan, että
perustamissopimuksen 100 a artiklan 1 kohdassa tarkoitettujen toimenpiteiden tarkoituksena on parantaa sisämarkkinoiden toteuttamisen
ja toiminnan edellytyksiä. Kyseisen artiklan tulkinta siten, että sillä annettaisiin yhteisön lainsäätäjälle yleistoimivalta sisämarkkinoista säätämiseksi,
olisi paitsi edellä mainittujen määräysten sanamuodon vastainen, myös ristiriidassa perustamissopimuksen 3 b artiklassa (josta
on tullut EY 5 artikla) määrätyn sen periaatteen kanssa, jonka mukaan yhteisön toimivalta on erityistoimivaltaa.
(10)
Perusoikeuksien suojan osalta voidaan viitata yhteisöjen tuomioistuimen direktiivin antamisen jälkeen asiassa 2/94 antamaan
lausuntoon, jossa yhteisöjen tuomioistuin totesi nimenomaisesti,
ettei perustamissopimuksen missään määräyksessä yleisesti myönnetä yhteisöjen toimielimille toimivaltaa antaa ihmisoikeuksia
koskevia oikeussäännöksiä tai tehdä kansainvälisiä yleissopimuksia tällä alalla.
(11)
44. Kaiken edellä esitetyn perusteella ehdotan, että käsiteltävänä olevaan kysymykseen vastataan, että direktiivin 3 artiklan
2 kohdan ensimmäisen luetelmakohdan mukaisesti direktiivin soveltamisalaan ei kuulu sellainen henkilötietojen käsittely, jossa
ilman minkäänlaista taloudellisen hyödyn tavoittelua perustetaan seurakunnalle vastikkeetta ja täysin työtehtävien ulkopuolella
nyt kyseessä olevan kaltainen kotisivu, jonka tarkoituksena on yksinomaan tukea seurakuntatyötä.
Muut kysymykset
45. Koska kyseessä olevan kaltainen henkilötietojen käsittely ei kuulu direktiivin soveltamisalaan, kansallisen tuomioistuimen
esittämiä muita kysymyksiä ei ole tarpeen käsitellä.
Ratkaisuehdotus
46. Edellä esitetyn perusteella ehdotan, että Göta Hovrättin kysymykseen vastataan seuraavasti:Direktiivin 3 artiklan 2 kohdan ensimmäisen luetelmakohdan mukaisesti direktiivin 95/46/EY soveltamisalaan ei kuulu sellainen
henkilötietojen käsittely, jossa ilman minkäänlaista taloudellisen hyödyn tavoittelua perustetaan seurakunnalle vastikkeetta
ja täysin työtehtävien ulkopuolella nyt kyseessä olevan kaltainen kotisivu, jonka tarkoituksena on yksinomaan tukea seurakuntatyötä.
- 1 –
- Alkuperäinen kieli: italia.
- 2 –
- EYVL L 281, 23.11.1995, s. 31.
- 3 –
- Esimerkkinä yksinomaan henkilökohtaisesta tai kotitaloutta koskevista toiminnoista mainitaan direktiivin 12. perustelukappaleessa
erityisesti
kirjeenvaihto ja osoitteiston pitäminen.
- 4 –
- Personuppgiftslag, Svensk författningssamling (SFS) 1998:204.
- 5 –
- Esimerkkinä tässä säännöksessä mainitaan
toiminta, josta on määrätty Euroopan unionista tehdyn sopimuksen V ja VI osastossa. Tämän lisäksi soveltamisalan ulkopuolelle jää säännöksen mukaan aina
käsittely, joka koskee yleistä turvallisuutta, puolustusta, valtion turvallisuutta (myös valtion taloudellista hyvinvointia,
kun käsittelyoperaatio on sidoksissa valtion turvallisuutta koskeviin kysymyksiin) ja rikosoikeuden alalla tapahtuvaa valtion
toimintaa.
- 6 –
- Tässä yhteydessä komissio vetoaa analogian perusteella erityisesti yhdistetyissä asioissa 286/82 ja 26/83, Luisi ja Carbone,
31.1.1984 annettuun tuomioon (Kok. 1984, s. 377, Kok. Ep. VII, s. 455) ja asiassa 186/87, Cowan, 2.2.1989 annettuun tuomioon
(Kok. 1989, s. 195, Kok. Ep. X, s. 11).
- 7 –
- Ks. lukuisten tuomioiden joukosta viimeksi asia C-108/98, RI.SAN., tuomio 9.9.1999 (Kok. 1999, s. I-5219, 23 kohta); asia
C-97/98, Jägerskiöld, tuomio 21.10.1999 (Kok. 1999, s. I-7319, 42 kohta) ja yhdistetyissä asioissa C-51/96 ja C-191/96, Deliège,
tuomio 11.4.2000 (Kok. 2000, s. I-2549, 58 kohta).
- 8 –
- Direktiivin seitsemännessä perustelukappaleessa korostetaan erityisesti sitä, että
nämä erot voivat muodostua esteeksi monelle yhteisön taloudelliselle toiminnalle, vääristää kilpailua ja estää viranomaisia
suorittamasta yhteisön oikeuden mukaisia velvollisuuksiaan; nämä suojaa koskevat erot johtuvat kansallisten lakien, asetusten
ja hallinnollisten määräysten välisistä eroista.
- 9 –
- Tupakkatuotteiden mainontaa ja niiden hyväksi tapahtuvaa sponsorointia koskevien jäsenvaltioiden lakien, asetusten ja hallinnollisten
määräysten lähentämisestä 6 päivänä heinäkuuta 1998 annettu Euroopan parlamentin ja neuvoston direktiivi 98/43/EY (EYVL L 213,
s. 9).
- 10 –
- Asia C-376/98, Saksa v. parlamentti ja neuvosto, tuomio 5.10.2000 (Kok. 2000, s. I-8419, 83 kohta).
- 11 –
- Lausunto 2/94, 28.3.1996 (Kok. 1996, s. I-1759, 27 kohta).