—

Rīgas pašvaldības SIA ”Rīgas satiksme”, asiamiehenään L. Bemhens,

—

Latvian hallitus, asiamiehinään I. Kalniņš ja A. Bogdanova,

—

Tšekin hallitus, asiamiehinään J. Vláčil ja M. Smolek,

—

Espanjan hallitus, asiamiehenään M. J. García-Valdecasas Dorrego,

—

Itävallan hallitus, asiamiehenään G. Eberhard,

—

Portugalin hallitus, asiamiehinään L. Inez Fernandes, M. Figueiredo ja C. Vieira Guerra,

—

Euroopan komissio, asiamiehinään D. Nardi, H. Kranenborg ja I. Rubene,

1

Ennakkoratkaisupyyntö koskee yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY (EYVL 1995, L 281, s. 31) 7 artiklan f alakohdan tulkintaa.

2

Tämä pyyntö on esitetty asiassa, jossa asianosaisina ovat Valsts policijas Rīgas reģiona pārvaldes Kārtības policijas pārvalde (liikennerikkomuksista vastaava Riian alueen turvallisuuspoliisin toimisto, Latvia; jäljempänä Latvian poliisi) ja Rīgas pašvaldības SIA ”Rīgas satiksme” (jäljempänä Rīgas satiksme), joka on Riian kaupungin johdinautoyritys, ja joka koskee pyyntöä saada tietoja onnettomuuden aiheuttaneen henkilön tunnistamista varten.

3

Direktiivin 95/46 1 artiklassa, jonka otsikko on ”Direktiivin tavoite”, säädetään seuraavaa:

”1.   Tämän direktiivin mukaisesti jäsenvaltioiden on henkilötietojen käsittelyssä turvattava yksilöille heidän perusoikeutensa ja ‑vapautensa ja erityisesti heidän oikeutensa yksityisyyteen.

2.   Jäsenvaltiot eivät voi rajoittaa tai kieltää henkilötietojen vapaata liikkuvuutta jäsenvaltioiden välillä syistä, jotka liittyvät 1 kohdan mukaisesti turvattavaan suojaan.”

4

Kyseisen direktiivin 2 artiklassa säädetään seuraavaa:

”Tässä direktiivissä tarkoitetaan:

– –

– –”

5

Direktiivin 95/46 5 artiklassa säädetään seuraavaa:

”Jäsenvaltioiden on määriteltävä henkilötietojen käsittelyn laillisuuden edellytykset tämän luvun säännösten rajoissa.”

6

Direktiivin 95/46 II luvun II jaksossa, jonka otsikko on ”Tietojenkäsittelyn laillisuutta koskevat periaatteet”, olevassa 7 artiklassa säädetään seuraavaa:

”Jäsenvaltioiden on säädettävä siitä, että henkilötietoja voidaan käsitellä ainoastaan,

7

Direktiivin 95/46 8 artiklan 2 kohdan e alakohdassa säädetään, että kieltoa käsitellä tiettyjä henkilötietoja, kuten tietoja, jotka koskevat rotua tai etnistä alkuperää tai poliittisia mielipiteitä, ei sovelleta, jos käsittely koskee tietoja, jotka rekisteröity on nimenomaisesti saattanut julkisiksi, tai jos käsittely on tarpeen oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi.

8

Henkilötietojen suojasta 23.3.2000 annetun lain (Fizisko personu datu aizsardzības likums; Latvijas Vēstnesis, 2000, nro 123/124) 6 §:ssä säädetään seuraavaa:

”Jokaisella on oikeus henkilötietojensa suojaan.”

9

Kyseisen lain 7 §:ssä, jolla on tarkoitus panna täytäntöön direktiivin 95/46 7 artikla, säädetään, että jollei kyseisessä laissa toisin säädetä, henkilötietojen käsittely on sallittua vain, jos vähintään yksi seuraavista vaatimuksista täyttyy:

10

Kyseisen lain 12 §:ssä säädetään, että rikoksia, rikostuomioita ja hallintotuomioita taikka tuomioistuinten päätöksiä tai asiakirja-aineistoa koskevia henkilötietoja voivat käsitellä ainoastaan laissa säädetyt henkilöt ja käsittely voi tapahtua ainoastaan laissa säädetyissä tapauksissa.

11

Latvian hallinnollisia rikkomuksia koskevan lain (Latvijas Administratīvo pārkāpumu kodekss) 261 §:n mukaisesti asian tutkinnassa toimivaltainen elin tai virkamies voi antaa henkilölle, jolle on aiheutunut vahinkoa rikkomuksen seurauksena, asianomistajan aseman hallinnollisessa seuraamusmenettelyssä. Tässä säännöksessä säädetään asianomistajan oikeuksista, joihin kuuluu myös oikeus saada tutustua asiakirja-aineistoon ja käyttää menettelyllisiä oikeuksiaan korvauksen saamiseksi.

12

Riiassa tapahtui joulukuussa 2012 liikenneonnettomuus. Taksinkuljettaja oli pysäyttänyt autonsa ajoväylän reunaan. Rīgas satiksmen johdinauton ohittaessa taksia taksin takapenkillä istunut matkustaja avasi oven, joka osui johdinautoon ja vahingoitti sitä. Onnettomuuden johdosta käynnistettiin hallinnollinen menettely ja laadittiin pöytäkirja, jossa todettiin, että oli tapahtunut hallinnollinen rikkomus.

13

Taksinkuljettajaa pidettiin alkuun vastuullisena kyseisestä onnettomuudesta, joten Rīgas satiksme vaati vahingonkorvausta vakuutusyhtiöltä, josta oli otettu vakuutus kyseisen taksin omistajan tai laillisen käyttäjän korvausvastuun varalta. Vakuutusyhtiö ilmoitti kuitenkin Rīgas satiksmelle, ettei se korvaisi vahinkoa, koska onnettomuuden syynä oli kyseisen taksimatkustajan eikä taksinkuljettajan käyttäytyminen. Se totesi, että Rīgas satiksme voisi esittää vaatimuksensa kyseiselle matkustajalle siviilioikeudellisessa menettelyssä.

14

Rīgas satiksme otti yhteyttä Latvian poliisiin ja pyysi tätä toimittamaan tietoja henkilöstä, jolle oli määrätty hallinto-oikeudellinen seuraamus kyseisen onnettomuuden seurauksena, ja jäljennökset taksinkuljettajan ja matkustajan onnettomuuden olosuhteita koskevista kertomuksista, sekä ilmoittamaan taksimatkustajan etu- ja sukunimen, henkilönumeron ja osoitteen. Rīgas satiksme täsmensi Latvian poliisille, että pyydettyjä tietoja käytettäisiin ainoastaan siviilioikeudellisen kanteen nostamiseen kyseistä henkilöä vastaan.

15

Latvian poliisi vastasi täyttäen Rīgas satiksmen pyynnön vain osittain antamalla taksimatkustajan etu- ja sukunimen mutta kieltäytymällä antamasta hänen henkilönumeroa ja kotiosoitettaan. Rīgas satiksmelle ei myöskään lähetetty onnettomuudessa osallisena olleiden henkilöiden antamien selvitysten jäljennöksiä.

16

Latvian poliisin päätös perustui siihen, että hallinnollista seuraamusmenettelyä koskevia tietoja voidaan antaa ainoastaan kyseisen menettelyn asianosaisille. Rīgas satiksme ei ole asianosaisena tässä asiassa. Latvian hallinnollisia rikkomuksia koskevan lain mukaan hallinnollisissa seuraamusmenettelyissä asian tutkinnassa toimivaltaisen elimen tai virkamiehen on nimittäin tunnustettava asianomistajan asema asianomaisen pyynnöstä. Nyt käsiteltävässä tapauksessa Rīgas satiksme ei ole käyttänyt tätä oikeutta.

17

Rīgas satiksme nosti Latvian poliisin päätöksestä kanteen administratīvā rajona tiesassa (alueellinen hallintotuomioistuin, Latvia) sillä perusteella, että tämä oli kieltäytynyt luovuttamasta onnettomuudessa osallisena olleen matkustajan henkilönumeroa ja kotiosoitetta. Kyseinen tuomioistuin hyväksyi 16.5.2014 antamallaan tuomiolla Rīgas satiksmen nostaman kanteen ja määräsi Latvian poliisin luovuttamaan tiedot kyseisen matkustajan henkilönumerosta ja asuinpaikasta.

18

Latvian poliisi nosti tuomiosta kassaatiovalituksen ennakkoratkaisua pyytäneessä tuomioistuimessa. Kyseinen tuomioistuin pyysi lausuntoa Datu valsts inspekcijalta (tietosuojaviranomainen, Latvia), joka vahvisti 13.10.2015 antamassaan vastauksessa, ettei tietojen luovuttamiseen voida pääasiassa soveltaa henkilötietojen suojasta annetun lain 7 §:n 6 momenttia, sillä hallinnollisia rikkomuksia koskevassa laissa säädetään ne tahot, joille Latvian poliisi voi luovuttaa asiaan liittyviä tietoja. Näin ollen hallinnolliseen seuraamusmenettelyyn liittyviä henkilötietoja voidaan tietosuojaviranomaisen mukaan luovuttaa ainoastaan kyseisen pykälän 3 ja 5 momentin mukaisesti laissa säädetyissä tilanteissa. Sen mukaan tämän lain 7 §:ssä rekisterinpitäjää – eli tässä tapauksessa Latvian poliisia – ei myöskään velvoiteta käsittelemään tietoja, vaan ainoastaan annetaan oikeus tietojen käsittelyyn.

19

Tietosuojaviranomainen huomautti, että Rīgas satiksmella oli käytössään kaksi keinoa hankkia nämä tiedot. Se voisi tehdä perustellun pyynnön Latvian väestörekisteriin tai nostaa siviiliprosessilain 98–100 §:n nojalla kanteen tietojen saamiseksi todisteista ja vaatia tuomioistuinta velvoittamaan Latvian poliisin luovuttamaan kanteen nostamiseen kyseistä henkilöä vastaan tarvittavat henkilötiedot.

20

Ennakkoratkaisua pyytäneellä tuomioistuimella on epäilyjä tietosuojaviranomaisen mainitsemien keinojen tehokkuudesta henkilötietojen saamista varten. Kyseinen tuomioistuin täsmentää tältä osin yhtäältä, että jos henkilötietorekisteriin tehdyssä pyynnössä mainitaan ainoastaan taksimatkustajan nimi, on mahdollista, ettei tätä matkustajaa voida tunnistaa ilman hänen henkilönumeroaan, sillä useammalla henkilöllä voi olla sama etu- ja sukunimi. Toisaalta ennakkoratkaisua pyytänyt tuomioistuin katsoo, että kun otetaan huomioon kansalliset todistelua koskevat säännökset, voidakseen nostaa siviilioikeudellisen kanteen kantajalla on oltava tiedossaan vähintäänkin vastaajan kotiosoite.

21

Ennakkoratkaisua pyytänyt tuomioistuin katsoo tältä osin, että kyseisen direktiivin 7 artiklan f alakohdassa tarkoitetun tarpeellisuuden käsitteen tulkinnasta on olemassa epäilyjä.

22

Näissä olosuhteissa Augstākās tiesas Administratīvo lietu departaments (ylimmän tuomioistuimen hallintoasioita käsittelevä osasto, Latvia) päätti lykätä asian käsittelyä ja esittää unionin tuomioistuimelle seuraavat ennakkoratkaisukysymykset:

23

Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee kysymyksillään, joita on syytä tarkastella yhdessä, onko direktiivin 95/46 7 artiklan f alakohtaa tulkittava siten, että siinä asetetaan velvollisuus luovuttaa henkilötietoja sivulliselle, jotta tämä voi nostaa siviilioikeudellisen vahingonkorvauskanteen vaatiakseen kyseisen henkilön, jota henkilötietosuoja koskee, aiheuttaman vahingon korvaamista, ja voiko sillä seikalla, että kyseinen henkilö on alaikäinen, olla vaikutusta tämän säännöksen tulkintaan.

24

Pääasiassa on riidatonta, että kyseisen taksimatkustajan henkilönumero ja osoite, joiden luovuttamista Rīgas satiksme on pyytänyt, ovat tunnistettua tai tunnistettavissa olevaa luonnollista henkilöä koskevia tietoja eli siten direktiivin 95/46 2 artiklan a alakohdassa tarkoitettuja ”henkilötietoja”. Lisäksi on riidatonta, että Latvian poliisi, jolle tämä pyyntö oli osoitettu, on näiden tietojen rekisterinpitäjä, joka muun muassa mahdollisesti luovuttaa näitä tietoja kyseisen direktiivin 2 artiklan d alakohdassa tarkoitetulla tavalla.

25

Direktiivin 95/46 5 artiklan mukaan jäsenvaltioiden on määriteltävä henkilötietojen käsittelyn laillisuuden edellytykset kyseisen direktiivin säännösten rajoissa. Direktiivin 7 artiklassa, jossa ilmaistaan henkilötietojen käsittelyn laillisuutta koskevat periaatteet, säädetään, että ”jäsenvaltioiden on säädettävä siitä, että henkilötietoja voidaan käsitellä ainoastaan”, jos jokin tässä säännöksessä tyhjentävästi luetelluista edellytyksistä täyttyy. Kyseisen 7 artiklan f alakohdan mukaan henkilötietoja voidaan käsitellä, jos käsittely on tarpeen rekisterinpitäjän tai tiedot saavan sivullisen oikeutetun intressin toteuttamiseksi, paitsi milloin tämän intressin syrjäyttävät rekisteröidyn direktiivin 95/46 1 artiklan 1 kohdan perusteella suojaa tarvitsevat intressit ja perusoikeudet ja ‑vapaudet.

26

Direktiivin 95/46 rakenteesta ja sen 7 artiklan sanamuodosta ilmenee, ettei direktiivin 95/46 7 artiklan f alakohdassa sinällään säädetä velvollisuudesta tiedot saavan sivullisen oikeutetun intressin toteuttamiseksi tarvittavien tietojen tälle luovuttamisen kaltaiseen tietojen käsittelyyn vaan ilmaistaan mahdollisuus tällaiseen käsittelyyn. Kuten julkisasiamies ratkaisuehdotuksensa 43–46 kohdassa korosti, tällainen tulkinta on myös johdettavissa muista unionin oikeuden henkilötietojen käsittelyä koskevista säännöksistä (ks. vastaavasti henkilötietojen käsittelyä sähköisen viestinnän alalla koskevilta osin tuomio 29.1.2008, Promusicae, C-275/06, EU:C:2008:54, 54 ja 55 kohta).

27

On kuitenkin huomautettava, ettei direktiivin 95/46 7 artiklan f alakohta ole esteenä tällaiselle henkilötietojen luovuttamiselle siinä tapauksessa, että luovuttaminen tapahtuu kansallisen oikeuden nojalla ja tässä säännöksessä säädettyjä edellytyksiä noudattaen.

28

Tältä osin direktiivin 95/46 7 artiklan f alakohdassa säädetään kolmesta kumulatiivisesta edellytyksestä henkilötietojen käsittelyn laillisuudelle, eli edellytetään ensinnäkin, että tietojen käsittely tapahtuu rekisterinpitäjän tai tiedot saavan sivullisen oikeutetun intressin toteuttamiseksi, toiseksi, että käsittely on tarpeen oikeutetun intressin toteuttamiseksi, ja kolmanneksi, että henkilön, jota tietosuoja koskee, perusoikeudet ja ‑vapaudet eivät syrjäytä tätä intressiä.

29

Oikeutetun intressin toteuttamista koskevasta edellytyksestä on julkisasiamiehen ratkaisuehdotuksensa 65, 79 ja 80 kohdassa esittämän tavoin todettava, että on täysin selvää, että sivullisen intressiä saada hänen omaisuuttaan vahingoittaneen henkilön henkilötiedot, jotta hän voisi nostaa kanteen vahingonkorvauksen vaatimiseksi tältä, voidaan pitää oikeutettuna intressinä (ks. vastaavasti tuomio 29.1.2008, Promusicae, C-275/06, EU:C:2008:54, 53 kohta). Tätä analyysiä tukee direktiivin 95/46 8 artiklan 2 kohdan e alakohta, jossa säädetään, että kieltoa käsitellä tiettyjä henkilötietoja, kuten tietoja, jotka koskevat rotua tai etnistä alkuperää tai poliittisia mielipiteitä, ei sovelleta muun muassa silloin, jos käsittely on tarpeen oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi.

30

Henkilötietojen käsittelyn tarpeellisuutta koskevasta edellytyksestä on muistutettava, että henkilötietojen suojaa koskevat poikkeukset ja rajoitukset on toteutettava täysin välttämättömän rajoissa (tuomio 9.11.2010, Volker und Markus Schecke ja Eifert, C-92/09 ja C-93/09, EU:C:2010:662, 86 kohta; tuomio 7.11.2013, IPI, C-473/12, EU:C:2013:715, 39 kohta ja tuomio 11.12.2014, Ryneš, C-212/13, EU:C:2014:2428, 28 kohta). Tästä on todettava, että ennakkoratkaisua pyytäneen tuomioistuimen toimittamien tietojen mukaan pelkän etu- ja sukunimen perusteella vahingon aiheuttanutta henkilöä ei voida tunnistaa sellaisella täsmällisyydellä, joka riittää kanteen nostamiseksi. Henkilön osoitteen ja/tai henkilönumeron saaminen on siis tätä tarkoitusta varten tarpeen.

31

Lopuksi on todettava, että kyseessä olevien oikeuksien ja intressien vertailua koskeva edellytys riippuu kunkin tapauksen konkreettisista olosuhteista (ks. vastaavasti tuomio 24.11.2011, Asociación Nacional de Establecimientos Financieros de Crédito, C-468/10 ja C-469/10, EU:C:2011:777, 40 kohta ja tuomio 19.10.2016, Breyer, C-582/14, EU:C:2016:779, 62 kohta).

32

Unionin tuomioistuin on katsonut tältä osin, että huomioon voidaan ottaa se, että rekisteröidyn perusoikeuksiin häntä koskevien tietojen käsittelyn vuoksi kohdistuvan loukkauksen vakavuus voi vaihdella sen mukaan, ovatko kyseessä olevat tiedot mahdollisesti jo yleisön saatavilla olevassa lähteessä (ks. vastaavasti tuomio 24.11.2011, Asociación Nacional de Establecimientos Financieros de Crédito, C-468/10 ja C-469/10, EU:C:2011:777, 44 kohta).

33

Ennakkoratkaisukysymyksen, sellaisena kuin se on esitetty uudelleen muotoiltuna edellä 23 kohdassa, toisesta osasta on todettava, että asianomaisen henkilön ikä voi olla yksi seikoista, jotka on otettava tässä vertailussa huomioon. Kuten julkisasiamies totesi ratkaisuehdotuksensa 82–84 kohdassa, on kuitenkin todettava, ettei ole perusteltua – mikä kansallisen tuomioistuimen on varmistettava – kieltäytyä sellaisten henkilötietojen luovuttamisesta vahinkoa kärsineelle osapuolelle, jotka ovat tarpeen vahingonkorvauskanteen nostamiseksi vahingon aiheuttanutta henkilöä vastaan tai mahdollisesti huoltajia vastaan sen vuoksi, että vahingon aiheuttanut henkilö on alaikäinen.

34

Kaikesta edellä todetusta seuraa, että direktiivin 95/46 7 artiklan f alakohtaa on tulkittava siten, ettei siinä aseteta velvollisuutta luovuttaa henkilötietoja sivulliselle, jotta tämä voi nostaa siviilioikeudellisen vahingonkorvauskanteen vaatiakseen henkilön, jota henkilötietosuoja koskee, aiheuttaman vahingon korvaamista. Kyseisen direktiivin 7 artiklan f alakohta ei kuitenkaan ole esteenä tällaiselle tietojen luovuttamiselle kansallisen oikeuden nojalla.

35

Pääasian asianosaisten osalta asian käsittely unionin tuomioistuimessa on välivaihe kansallisessa tuomioistuimessa vireillä olevan asian käsittelyssä, minkä vuoksi kansallisen tuomioistuimen asiana on päättää oikeudenkäyntikulujen korvaamisesta. Oikeudenkäyntikuluja, jotka ovat aiheutuneet muille kuin näille asianosaisille huomautusten esittämisestä unionin tuomioistuimelle, ei voida määrätä korvattaviksi.

Näillä perusteilla unionin tuomioistuin (toinen jaosto) on ratkaissut asian seuraavasti:

Yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY 7 artiklan f alakohtaa on tulkittava siten, ettei siinä aseteta velvollisuutta luovuttaa henkilötietoja sivulliselle, jotta tämä voi nostaa siviilioikeudellisen vahingonkorvauskanteen vaatiakseen henkilön, jota henkilötietosuoja koskee, aiheuttaman vahingon korvaamista. Kyseisen direktiivin 7 artiklan f alakohta ei kuitenkaan ole esteenä tällaiselle tietojen luovuttamiselle kansallisen oikeuden nojalla.