Yhdistetyt asiat C-468/10 ja C-469/10
Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF)
ja
Federación de Comercio Electrónico y Marketing Directo (FECEMD)
vastaan
Administración del Estado
(Tribunal Supremon esittämät ennakkoratkaisupyynnöt)
Henkilötietojen käsittely – Direktiivi 95/46/EY – 7 artiklan f alakohta – Välitön oikeusvaikutus
Tuomion tiivistelmä
1. Jäsenvaltioiden lainsäädännön lähentäminen – Yksityisten suojelu henkilötietojen käsittelyssä – Direktiivi 95/46 – Täydellinen yhdenmukaistaminen – Niistä tilanteista laadittu tyhjentävä luettelo, joissa henkilötietojen käsittely on laillista
(Euroopan parlamentin ja neuvoston direktiivin 95/46 7 artikla)
2. Jäsenvaltioiden lainsäädännön lähentäminen – Yksityisten suojelu henkilötietojen käsittelyssä – Direktiivi 95/46 – Henkilötietojen käsittelyn laillisuuden edellytykset
(Euroopan unionin perusoikeuskirjan 7 ja 8 artikla; Euroopan parlamentin ja neuvoston direktiivin 95/46 5 artikla ja 7 artiklan f alakohta)
3. Jäsenvaltioiden lainsäädännön lähentäminen – Yksityisten suojelu henkilötietojen käsittelyssä – Direktiivi 95/46 – Jäsenvaltioiden harkintavallan laajuus
(Euroopan parlamentin ja neuvoston direktiivin 95/46 5 artikla)
4. Jäsenvaltioiden lainsäädännön lähentäminen – Yksityisten suojelu henkilötietojen käsittelyssä – Direktiivi 95/46 – Henkilötietojen käsittelyn laillisuuden edellytykset
(Euroopan unionin perusoikeuskirjan 7 ja 8 artikla; Euroopan parlamentin ja neuvoston direktiivin 95/46 7 artiklan f alakohta)
5. Perusoikeudet – Yksityiselämän kunnioittaminen – Yksityisten suojelu henkilötietojen käsittelyssä – Rajoitukset, jotka voidaan sallia Euroopan unionin perusoikeuskirjan nojalla
(Euroopan unionin perusoikeuskirjan 7 ja 8 artikla sekä 52 artiklan 1 kohta)
6. Toimielinten säädökset, päätökset ja muut toimet – Direktiivit – Välitön oikeusvaikutus – Edellytykset
(EY 249 artiklan kolmas kohta; Euroopan parlamentin ja neuvoston direktiivin 95/46 7 artiklan f alakohta)
1. Yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta annetussa direktiivissä 95/46 tarkoitettu kansallisten lainsäädäntöjen yhdenmukaistaminen ei jää pelkästään vähimmäistasolle vaan johtaa yhdenmukaistamiseen, joka on lähtökohtaisesti täydellinen. Juuri tätä silmällä pitäen direktiivillä 95/46 pyritään toteuttamaan henkilötietojen vapaa liikkuvuus takaamalla samalla korkeatasoinen suoja niiden henkilöiden oikeuksille ja vapauksille, joita tiedot koskevat. Tämän vuoksi tavoitteesta taata kaikissa jäsenvaltioissa suojan saattaminen samalle tasolle johtuu, että direktiivin 7 artiklaan on otettu tyhjentävä luettelo, johon on rajattu tilanteet, joissa henkilötietojen käsittelyn voidaan katsoa olevan laillista. Tästä seuraa, että jäsenvaltiot eivät voi lisätä direktiivin 7 artiklaan uusia henkilötietojen käsittelyn laillistamista koskevia periaatteita eivätkä säätää lisävaatimuksista, joilla muutettaisiin jonkin tässä artiklassa säädetyn periaatteen ulottuvuutta.
Tätä tulkintaa ei voida asettaa kyseenalaiseksi direktiivin 95/46 5 artiklassa jäsenvaltioille annetulla mahdollisuudella määritellä henkilötietojen käsittelyn laillisuuden edellytykset. Jäsenvaltiot eivät näet voi direktiivin 5 artiklassa niille annetun harkintavallan perusteella ottaa käyttöön muita henkilötietojen käsittelyn laillistamista koskevia periaatteita kuin ne, jotka mainitaan direktiivin 7 artiklassa, eivätkä lisävaatimuksilla muuttaa mainitussa artiklassa säädettyjen periaatteiden ulottuvuutta.
(ks. 29, 30, 32, 33, 35 ja 36 kohta)
2. Yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta annetun direktiivin 95/46 7 artiklan f alakohtaa on tulkittava siten, että se on esteenä kansalliselle lainsäädännölle, jonka mukaan silloin, kun rekisteröidyn suostumusta ei ole saatu, henkilötietojen käsittely, joka on tarpeen rekisterinpitäjän tai sivullisen, jolle tiedot on luovutettu, oikeutettujen intressien toteuttamiseksi, edellyttää rekisteröidyn perusoikeuksien ja -vapauksien kunnioittamisen lisäksi sitä, että henkilötiedot ovat yleisön saatavilla olevissa lähteissä, ja jolla suljetaan näin ehdottomasti ja yleisesti pois mahdollisuus käsitellä tietoja, jotka eivät ole tällaisissa yleisön saatavilla olevissa lähteissä.
Direktiivin tavoitteesta pyrkiä toteuttamaan henkilötietojen vapaa liikkuvuus takaamalla samalla korkeatasoinen suoja niiden henkilöiden oikeuksille ja vapauksille, joita tiedot koskevat, nimittäin johtuu, että direktiivin 7 artiklaan on otettu tyhjentävä luettelo, johon on rajattu tilanteet, joissa henkilötietojen käsittelyn voidaan katsoa olevan laillista. Jäsenvaltiot eivät näin ollen voi lisätä uusia henkilötietojen käsittelyn laillistamista koskevia periaatteita eivätkä säätää lisävaatimuksista, joilla muutettaisiin jonkin 7 artiklassa säädetyn periaatteen ulottuvuutta. Jäsenvaltiot eivät myöskään voi direktiivin 5 artiklan perusteella ottaa käyttöön muita henkilötietojen käsittelyn laillistamista koskevia periaatteita kuin ne, jotka mainitaan 7 artiklassa, eivätkä lisävaatimuksilla muuttaa mainitussa artiklassa säädettyjen periaatteiden ulottuvuutta.
Toisaalta on niin, että jäsenvaltioilla on mahdollisuus vahvistaa periaatteellisia ohjeita direktiivin 95/46 7 artiklan f alakohdassa tarkoitetun, asiassa vastakkain olevien oikeuksien ja intressien edellyttämän punnitsemisen suorittamiseksi. Ne voivat myös ottaa huomioon sen, että rekisteröidyn perusoikeuksiin häntä koskevien tietojen käsittelyn vuoksi kohdistuvan loukkauksen vakavuus voi vaihdella sen mukaan, ovatko kyseessä olevat tiedot mahdollisesti jo yleisön saatavilla olevassa lähteessä vai eivät. Viimeksi mainitussa tapauksessa loukkaus on katsottava sitäkin vakavammaksi.
Kyseessä ei kuitenkaan ole enää pelkkä täsmennys vaan direktiivin 7 artiklan f alakohdassa kielletty lisävaatimus, jos kansallisella lainsäädännöllä suljetaan kokonaan pois tiettyjen henkilötietoryhmien osalta mahdollisuus niiden käsittelyyn vahvistamalla näiden ryhmien osalta lopullisesti se, mikä vastakkaisten oikeuksien ja intressien punnitsemisen tulos on, sallimatta muunlaista tulosta tiettyjen konkreettisessa tapauksessa vallitsevien erityisten olosuhteiden perusteella.
(ks. 29, 30, 32, 36 ja 44–49 kohta sekä tuomiolauselman 1 kohta)
3. Yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta annetussa direktiivissä 95/46 on sääntöjä, jotka ovat luonteeltaan joustavia, ja siinä jätetään jäsenvaltioille useissa tapauksissa valta määrätä yksityiskohdista tai valita eri vaihtoehtojen välillä. On siis syytä erottaa toisistaan yhtäältä sellaiset kansalliset toimenpiteet, joilla vahvistetaan lisävaatimuksia, joilla muutetaan jonkin direktiivin 7 artiklassa tarkoitetun periaatteen ulottuvuutta, ja toisaalta sellaiset kansalliset toimenpiteet, joilla vain tarkennetaan jotakin näistä periaatteista. Ensin mainitun tyyppiset kansalliset toimenpiteet ovat kiellettyjä. Jäsenvaltioilla on vain jälkimmäisten kansallisten toimenpiteiden tyyppisten toimenpiteiden suhteen direktiivin 5 artiklan nojalla tietty harkintavalta.
(ks. 35 kohta)
4. Yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta annetun direktiivin 95/46 7 artiklan f alakohdassa säädetään kahdesta kumulatiivisesta edellytyksestä, joiden on täytyttävä, jotta henkilötietojen käsittelyä voidaan pitää laillisena, eli yhtäältä edellytetään sitä, että henkilötietojen käsittelyn on oltava tarpeen rekisterinpitäjän tai sen sivullisen, jolle tiedot on luovutettu, oikeutetun intressin toteuttamiseksi, ja toisaalta sitä, etteivät rekisteröidyn perusoikeudet ja -vapaudet syrjäytä tätä intressiä. Näistä edellytyksistä jälkimmäinen edellyttää kyseessä olevien vastakkaisten oikeuksien ja intressien punnitsemista, joka riippuu lähtökohtaisesti kunkin tapauksen konkreettisista olosuhteista ja jossa punnitsemisen suorittavan henkilön tai elimen on otettava huomioon rekisteröidyn niiden oikeuksien merkitys, jotka perustuvat Euroopan unionin perusoikeuskirjan 7 ja 8 artiklaan.
(ks. 38 ja 40 kohta)
5. Euroopan unionin perusoikeuskirjan 7 ja 8 artiklassa tunnustettu oikeus yksityiselämän kunnioittamiseen henkilötietojen käsittelyssä koskee kaikenlaisia tunnistettua tai tunnistettavissa olevaa luonnollista henkilöä koskevia tietoja. Perusoikeuskirjan 8 artiklan 2 kohdan ja 52 artiklan 1 kohdan mukaan tätä oikeutta voidaan kuitenkin tietyin edellytyksin rajoittaa.
(ks. 42 kohta)
6. Aina, kun direktiivin säännökset ovat sisällöltään ehdottomia ja riittävän täsmällisiä, yksityiset voivat vedota niihin kansallisissa tuomioistuimissa jäsenvaltiota vastaan silloin, kun se ei ole määräajassa pannut täytäntöön direktiiviä tai kun se on pannut sen täytäntöön virheellisesti. Tällainen on yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta annetun direktiivin 95/46 7 artiklan f alakohdan tilanne. Vaikka jäsenvaltioilla onkin direktiivin 95/46 nojalla enemmän tai vähemmän laaja harkintavalta tiettyjen sen säännösten täytäntöönpanossa, 7 artiklan f alakohdassa muotoiltu velvoite on kuitenkin ehdoton.
(ks. 51, 52 ja 55 kohta sekä tuomiolauselman 2 kohta)
UNIONIN TUOMIOISTUIMEN TUOMIO (kolmas jaosto)
24 päivänä marraskuuta 2011 (*)
Henkilötietojen käsittely – Direktiivi 95/46/EY – 7 artiklan f alakohta – Välitön oikeusvaikutus
Yhdistetyissä asioissa C‑468/10 ja C‑469/10,
joissa on kyse SEUT 267 artiklaan perustuvista ennakkoratkaisupyynnöistä, jotka Tribunal Supremo (Espanja) on esittänyt 15.7.2010 tekemillään päätöksillä, jotka ovat saapuneet unionin tuomioistuimeen 28.9.2010, saadakseen ennakkoratkaisun asioissa
Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF) (C-468/10) ja
Federación de Comercio Electrónico y Marketing Directo (FECEMD) (C-469/10)
vastaan
Administración del Estado,
Unión General de Trabajadoresin (UGT) (C-468/10 ja C-469/10),
Telefónica de España SAU:n (C-468/10),
France Telecom España SA:n (C-468/10 ja C-469/10),
Telefónica Móviles de España SAU:n (C-469/10),
Vodafone España SA:n (C-469/10) ja
Asociación de Usuarios de la Comunicaciónin (C-469/10)
osallistuessa asian käsittelyyn,
UNIONIN TUOMIOISTUIN (kolmas jaosto),
toimien kokoonpanossa: jaoston puheenjohtaja K. Lenaerts (esittelevä tuomari) sekä tuomarit R. Silva de Lapuerta, E. Juhász, T. von Danwitz ja D. Šváby,
julkisasiamies: P. Mengozzi,
kirjaaja: johtava hallintovirkamies M. Ferreira,
ottaen huomioon kirjallisessa käsittelyssä ja 15.9.2011 pidetyssä istunnossa esitetyn,
ottaen huomioon huomautukset, jotka sille ovat esittäneet
– Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF), edustajinaan abogado C. Alonso Martínez ja abogado A. Creus Carreras,
– Federación de Comercio Electrónico y Marketing Directo (FECEMD), edustajinaan abogado R. García del Poyo Vizcaya ja abogado M. Á. Serrano Pérez,
– Espanjan hallitus, asiamiehenään M. Muñoz Pérez,
– Euroopan komissio, asiamiehinään I. Martínez del Peral ja B. Martenczuk,
päätettyään julkisasiamiestä kuultuaan ratkaista asian ilman ratkaisuehdotusta,
on antanut seuraavan
tuomion
1 Ennakkoratkaisupyynnöt koskevat yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY (EYVL L 281, s. 31) 7 artiklan f alakohdan tulkintaa.
2 Pyynnöt on esitetty asioissa, joissa valittajina ovat Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF) ja Federación de Comercio Electrónico y Marketing Directo (FECEMD) ja vastapuolena Administración del Estado.
Asiaa koskevat oikeussäännöt
Unionin oikeus
Direktiivi 95/46
3 Direktiivin 95/46 johdanto-osan seitsemännessä, kahdeksannessa ja kymmenennessä perustelukappaleessa todetaan seuraavaa:
”(7) henkilötietojen käsittelyä koskevat jäsenvaltioiden väliset erot yksilöiden oikeuksien ja vapauksien suojassa, erityisesti oikeudessa yksityisyyteen, voivat estää kyseisten tietojen siirron tietyn jäsenvaltion alueelta toisen jäsenvaltion alueelle; tämän vuoksi nämä erot voivat muodostua esteeksi monelle yhteisön taloudelliselle toiminnalle, vääristää kilpailua ja estää viranomaisia suorittamasta yhteisön oikeuden mukaisia velvollisuuksiaan; nämä suojaa koskevat erot johtuvat kansallisten lakien, asetusten ja hallinnollisten määräysten välisistä eroista,
(8) henkilötietojen liikkuvuuden esteiden poistamiseksi yksilöiden oikeuksien ja vapauksien suojan tason kyseisten tietojen käsittelyssä on oltava sama kaikissa jäsenvaltioissa; ottaen huomioon erityisesti asiaan sovellettavien kansallisten lainsäädäntöjen tämänhetkiset eroavaisuudet ja tarve yhteensovittaa jäsenvaltioiden lainsäädännöt, jotta henkilötietojen kansainvälistä kulkua säänneltäisiin yhdenmukaisella tavalla ja – – sisämarkkinoiden tavoitteen mukaisesti, tätä sisämarkkinoiden kannalta erityisen tärkeää tavoitetta ei voida saavuttaa ainoastaan jäsenvaltioiden toiminnalla; tämän vuoksi lainsäädäntöjen lähentämiseen pyrkivä yhteisön toiminta on tarpeen,
– –
(10) henkilötietojen käsittelyä koskevien kansallisten lainsäädäntöjen tavoitteena on taata perusoikeuksien ja -vapauksien kunnioittaminen, erityisesti yksityisyyttä koskevan oikeuden kunnioittaminen, joka tunnustetaan myös ihmisoikeuksien ja perusvapauksien suojaamiseksi tehdyn [Roomassa 4.11.1950 allekirjoitetun] Euroopan yleissopimuksen 8 artiklassa ja yhteisön oikeuden yleisissä periaatteissa; tämän vuoksi lainsäädäntöjen lähentäminen ei saa johtaa lainsäädännöllä turvattavan tietosuojan heikentymiseen, vaan sillä on päinvastoin varmistettava tietosuojan korkea taso yhteisössä.”
4 Direktiivin 1 artiklassa, jonka otsikko on ”Direktiivin tavoite”, säädetään seuraavaa:
”1. Tämän direktiivin mukaisesti jäsenvaltioiden on henkilötietojen käsittelyssä turvattava yksilöille heidän perusoikeutensa ja -vapautensa ja erityisesti heidän oikeutensa yksityisyyteen.
2. Jäsenvaltiot eivät voi rajoittaa tai kieltää henkilötietojen vapaata liikkuvuutta jäsenvaltioiden välillä syistä, jotka liittyvät 1 kohdan mukaisesti turvattavaan suojaan.”
5 Direktiivin 5 artiklassa säädetään seuraavaa:
”Jäsenvaltioiden on määriteltävä henkilötietojen käsittelyn laillisuuden edellytykset tämän luvun säännösten rajoissa.”
6 Direktiivin 95/46 7 artiklassa säädetään seuraavaa:
”Jäsenvaltioiden on säädettävä siitä, että henkilötietoja voidaan käsitellä ainoastaan,
a) jos rekisteröity on yksiselitteisesti antanut suostumuksensa, tai
– –
f) jos käsittely on tarpeen rekisterinpitäjän tai tiedot saavan sivullisen oikeutetun intressin toteuttamiseksi, paitsi milloin tämän intressin syrjäyttävät rekisteröidyn 1 artiklan 1 kohdan perusteella suojaa tarvitsevat intressit ja perusoikeudet ja -vapaudet.”
7 Direktiivin 13 artiklan 1 kohdassa säädetään seuraavaa:
”Jäsenvaltiot voivat toteuttaa lainsäädännöllisiä toimenpiteitä, joilla pyritään rajoittamaan 6 artiklan 1 kohdassa, 10 artiklassa, 11 artiklan 1 kohdassa sekä 12 ja 21 artiklassa säädettyjen oikeuksien ja velvoitteiden alaa, jos tällaiset rajoitukset ovat välttämättömiä, jotta varmistettaisiin
a) valtion turvallisuus,
b) puolustus,
c) yleinen turvallisuus,
d) rikosten tai, säännellyn ammattitoiminnan osalta, ammattietiikan rikkomusten torjunta, tutkinta, selvittäminen ja syyteharkinta,
e) jäsenvaltiolle tai Euroopan unionille tärkeä taloudellinen tai rahoituksellinen etu, myös rahaa, talousarviota ja verotusta koskevissa asioissa,
f) valvonta-, tarkastus- tai sääntelytehtävä, joka satunnaisestikin liittyy julkisen vallan käyttämiseen c, d ja e alakohdassa tarkoitetuissa tapauksissa,
g) rekisteröidyn suojelu tai muiden oikeudet ja vapaudet.”
Kansallinen lainsäädäntö
Laki nro 15/1999
8 Direktiivi 95/46 on saatettu osaksi Espanjan oikeutta henkilötietojen suojasta annetulla lailla nro 15/1999 (Ley Orgánica 15/1999, de 14 de diciembre de 1999, de Protección de Datos de Carácter Personal; BOE nro 298, 14.12.1999, s. 43088).
9 Lain 3 §:n j alakohdassa rajataan tyhjentävästi ”yleisön saatavilla olevat lähteet” luetteloimalla ne seuraavasti:
”– – rekisterit, joihin saa tutustua kuka tahansa ja joihin tutustumista ei ole rajoitettu lailla tai joihin tutustumiselle ei ole asetettu muita edellytyksiä kuin tarvittaessa vastikkeen suorittaminen. Yleisön saatavilla oleviksi lähteiksi katsotaan yksinomaan äänioikeutetuista pidetyistä luetteloista annettavat jäljennökset (censo promocional), puhelinluettelot niitä koskevien erillisten säännösten mukaisin edellytyksin ja ammattiryhmiin kuuluvista henkilöistä pidetyt luettelot, jotka sisältävät pelkästään nimen, arvonimen, ammatin, harjoitetun toiminnan, tutkinnon, osoitteen ja kyseiseen ryhmään kuulumista osoittavat tiedot. Yleisön saatavilla olevia lähteitä ovat myös viralliset julkaisut, virallinen lehti ja tiedotusvälineet.”
10 Lain nro 15/1999 6 §:n 1 momentin mukaan tietojen käsittely edellyttää rekisteröidyn yksiselitteistä suostumusta, ellei lailla toisin säädetä. Lain 6 §:n 2 momentin loppuosassa säädetäänkin, ettei suostumusta edellytetä muun muassa, ”kun tiedot ovat yleisön saatavilla olevissa lähteissä ja niiden käsittely on tarpeen rekisterinpitäjän tai sellaisen sivullisen oikeutetun intressin toteuttamiseksi, jolle tiedot luovutetaan, edellyttäen, ettei rekisteröidyn perusoikeuksia ja -vapauksia loukata”.
11 Lain nro 15/1999 11 §:n 1 momentissa muistutetaan rekisteröidyn suostumusta koskevasta edellytyksestä, kun kyse on henkilötietojen luovuttamisesta sivullisille mutta pykälän 2 momentissa säädetään, ettei suostumusta tarvita muun muassa silloin, kun kyse on yleisön saatavilla olevaan lähteeseen kootuista tiedoista.
Kuninkaan asetus nro 1720/2007
12 Espanjan hallitus on pannut täytäntöön lain nro 15/1999 antamalla kuninkaan asetuksen nro 1720/2007 (BOE nro 17, 19.1.2008, s. 4103).
13 Kuninkaan asetuksen nro 1720/2007 10 §:n 1 momentissa annetaan lupa henkilötietojen käsittelyyn ja luovuttamiseen, jos rekisteröity on antanut tähän ensin suostumuksensa.
14 Kuninkaan asetuksen nro 1720/2007 10 §:n 2 momentissa säädetään kuitenkin seuraavaa:
”Henkilötietojen käsittely ja luovuttaminen ilman rekisteröidyn suostumusta on – – mahdollista silloin, kun
a) lupa tähän perustuu laintasoiseen säännökseen tai yhteisön oikeuden säännökseen, ja etenkin silloin, kun jokin seuraavista edellytyksistä täyttyy:
– käsittelyn tai luovutuksen perusteena on näissä säännöksissä tarkoitetun rekisterinpitäjän tai tiedot saavan sivullisen oikeutettu intressi, paitsi milloin 13.12. annetun lain nro 15/1999 1 §:ssä tarkoitettujen rekisteröityjen intressit tai perusvapaudet tai -oikeudet syrjäyttävät ensin mainitun intressin
– tietojen käsittely tai luovuttaminen on tarpeen rekisterinpitäjän näissä säännöksissä tarkoitetun velvoitteen täyttämiseksi
b) käsiteltävät tai luovutettavat tiedot ovat yleisön saatavilla olevassa lähteessä ja rekisterinpitäjällä tai sivullisella, jolle tiedot luovutetaan, on oikeutettu intressi niiden käsittelyyn tai saamiseen, edellyttäen, että rekisteröidyn perusoikeuksia ja -vapauksia ei loukata.
Viranomaiset voivat tämän momentin nojalla luovuttaa yleisön saatavilla oleviin lähteisiin koottuja tietoja yksityisten rekisterien pitäjille kuitenkin vain siinä tapauksessa, että niillä on tähän lupa laintasoisen säännöksen nojalla.”
Pääasiat ja ennakkoratkaisukysymykset
15 ASNEF ja FECEMD ovat kumpikin tahollaan tehneet hallintovalituksen useista kuninkaan asetuksen nro 1720/2007 pykälistä.
16 Valitusten kohteena ovat muun muassa mainitun kuninkaan asetuksen 10 §:n 2 momentin a kohdan ensimmäinen luetelmakohta ja b kohdan ensimmäinen alakohta, joiden ASNEF ja FECEMD katsovat olevan ristiriidassa direktiivin 95/46 7 artiklan f alakohdan kanssa.
17 ASNEF ja FECEMD katsovat, että Espanjan oikeudessa on henkilötietojen käsittelyyn rekisterinpitäjän oikeutetun intressin perusteella ilman rekisteröidyn suostumusta lisätty vaatimus, jota ei ole mainittu direktiivissä 95/46 ja jonka mukaan tietojen on oltava yleisön saatavilla olevassa lähteessä.
18 Tribunal Supremo katsoo, että ASNEFin ja FECEMDin valitusten aiheellisuus riippuu suurelta osin siitä, millä tavoin unionin tuomioistuin tulkitsee direktiivin 95/46 7 artiklan f alakohtaa. Se on tästä syystä todennut, että jos unionin tuomioistuin katsoo, etteivät jäsenvaltiot voi säätää muista edellytyksistä niiden lisäksi, jotka on mainittu tässä direktiivin säännöksessä, ja jos säännöksellä voidaan katsoa olevan välitön oikeusvaikutus, kuninkaan asetuksen nro 1720/2007 10 §:n 2 momentin b alakohtaa ei voida soveltaa.
19 Tribunal Supremo esittää, että silloin kun rekisteröidyn suostumusta ei ole saatu, hänen henkilötietojensa käsittely, joka on tarpeen rekisterinpitäjän tai sivullisen, jolle tiedot on luovutettu, oikeutettujen intressien toteuttamiseksi, edellyttää Espanjan oikeuden mukaan rekisteröidyn perusoikeuksien ja -vapauksien kunnioittamisen lisäksi sitä, että tiedot ovat lain nro 15/1999 3 §:n j alakohdassa mainituissa rekistereissä. Tribunal Supremo katsoo, että lailla nro 15/1999 ja kuninkaan asetuksella nro 1720/2007 rajoitetaan tältä osin direktiivin 95/46 7 artiklan f alakohdan ulottuvuutta.
20 Tribunal Supremon mukaan tätä rajoitusta on pidettävä henkilötietojen vapaan liikkuvuuden esteenä, joka voi olla yhteensopiva direktiivin 95/46 kanssa ainoastaan siinä tapauksessa, että sen henkilön intressit tai perusoikeudet ja -vapaudet, jonka henkilötiedoista on kysymys, tätä edellyttävät. Tribunal Supremo katsoo tällä perusteella, että direktiivin ja Espanjan oikeuden välinen ristiriita voidaan välttää ainoastaan katsomalla, että muissa kuin lain nro 15/1999 3 §:n j alakohdassa mainituissa rekistereissä olevien henkilötietojen vapaa liikkuvuus loukkaa sen henkilön intressejä tai perusoikeuksia ja -vapauksia, jonka henkilötiedoista on kyse.
21 Tribunal Supremo ei kuitenkaan ole varma siitä, onko tällainen tulkinta unionin lainsäätäjän tarkoituksen mukainen.
22 Tribunal Supremo on tämän johdosta katsonut, että sen käsiteltäviksi saatettujen kahden asian ratkaisu riippuu unionin oikeussääntöjen tulkinnasta, ja päättänyt lykätä asioiden ratkaisua esittääkseen unionin tuomioistuimelle seuraavat ennakkoratkaisukysymykset, jotka on kummassakin asiassa muotoiltu samalla tavoin:
”1) Onko – – direktiivin 95/46 – – 7 artiklan f alakohtaa tulkittava siten, että se on esteenä sellaiselle kansalliselle lainsäädännölle, jonka mukaan, jos rekisteröidyn suostumusta ei ole saatu, häntä koskevien henkilötietojen käsittely, joka on tarpeen rekisterinpitäjän tai niiden sivullisten, joille tiedot luovutetaan, oikeutettujen intressien toteuttamiseksi, edellyttää sen lisäksi, ettei rekisteröidyn perusoikeuksia ja -vapauksia loukata, että henkilötiedot ovat yleisön saatavilla olevissa lähteissä?
2) Täyttääkö direktiivin 95/46 – – 7 artiklan f alakohta vaatimukset, joita edellytetään unionin tuomioistuimen oikeuskäytännössä välittömän oikeusvaikutuksen tunnustamiselta?”
23 Asiat C-468/10 ja C-469/10 yhdistettiin 26.10.2010 annetulla unionin tuomioistuimen presidentin määräyksellä kirjallista ja suullista käsittelyä sekä tuomion antamista varten.
Ennakkoratkaisukysymysten tarkastelu
Ensimmäinen kysymys
24 Ennakkoratkaisua pyytäneen tuomioistuimen ensimmäinen kysymys kohdistuu pääasiallisesti siihen, onko direktiivin 95/46 7 artiklan f alakohtaa tulkittava siten, että se on esteenä sellaiselle kansalliselle lainsäädännölle, jonka mukaan silloin, kun rekisteröidyn suostumusta ei ole saatu, hänen henkilötietojensa käsittely, joka on tarpeen käsittelystä vastaavan rekisterinpitäjän tai sellaisen sivullisen, jolle tiedot on luovutettu, oikeutetun intressin toteuttamiseksi, edellytetään rekisteröidyn perusoikeuksien ja -vapauksien kunnioittamisen lisäksi sitä, että kyseiset tiedot ovat yleisön saatavilla olevissa lähteissä.
25 Direktiivin 95/46 1 artiklassa jäsenvaltiot velvoitetaan turvaamaan henkilötietojen käsittelyssä yksilöille heidän perusoikeutensa ja -vapautensa ja erityisesti heidän oikeutensa yksityisyyteen (ks. vastaavasti asia C-524/06, Huber, tuomio 16.12.2008, Kok., s. I-9705, 47 kohta).
26 Direktiivin 95/46 II luvun, jonka otsikkona on ”Yleiset säännöt henkilötietojen käsittelyn laillisuudesta”, säännösten mukaan on niin, että jollei direktiivin 13 artiklassa säädetyistä poikkeuksista muuta johdu, henkilötietojen käsittelyssä on noudatettava yhtäältä tietojen laatua koskevia periaatteita, jotka mainitaan tämän direktiivin 6 artiklassa, ja toisaalta tietojen käsittelyn laillisuutta koskevia periaatteita, jotka luetellaan sen 7 artiklassa (ks. vastaavasti yhdistetyt asiat C‑465/00, C‑138/01 ja C‑139/01, Österreichischer Rundfunk ym., tuomio 20.5.2003, Kok., s. I-4989, 65 kohta ja em. asia Huber, tuomion 48 kohta).
27 Direktiivin 95/46 seitsemännen perustelukappaleen mukaan sisämarkkinoiden luominen ja toiminta voi vakavasti vaikeutua henkilötietojen käsittelyä koskevien kansallisten järjestelmien välisten erojen vuoksi (ks. asia C-101/01, Lindqvist, tuomio 6.11.2003, Kok., s. I-12971, 79 kohta).
28 Tässä yhteydessä on huomautettava, että direktiivillä 95/46 pyritään, kuten erityisesti sen kahdeksannesta perustelukappaleesta käy ilmi, saattamaan henkilöiden oikeuksien ja vapauksien suoja henkilötietojen käsittelyssä samalle tasolle kaikissa jäsenvaltioissa. Sen kymmenennessä perustelukappaleessa todetaan lisäksi, että sovellettavien kansallisten lainsäädäntöjen lähentäminen ei saa johtaa lainsäädännöllä turvattavan tietosuojan heikentymiseen vaan sillä on päinvastoin varmistettava tietosuojan korkea taso unionissa (ks. vastaavasti em. asia Lindqvist, tuomion 95 kohta ja em. asia Huber, tuomion 50 kohta).
29 Tästä syystä onkin todettu, että näiden kansallisten lainsäädäntöjen yhdenmukaistaminen ei jää pelkästään vähimmäistasolle vaan johtaa yhdenmukaistamiseen, joka on lähtökohtaisesti täydellinen. Juuri tätä silmällä pitäen direktiivillä 95/46 pyritään toteuttamaan henkilötietojen vapaa liikkuvuus takaamalla samalla korkeatasoinen suoja niiden henkilöiden oikeuksille ja vapauksille, joita tiedot koskevat (ks. em. asia Lindqvist, tuomion 96 kohta).
30 Tavoitteesta taata kaikissa jäsenvaltioissa suojan saattaminen samalle tasolle johtuu siten, että direktiivin 95/46 7 artiklaan on otettu tyhjentävä luettelo, johon on rajattu tilanteet, joissa henkilötietojen käsittelyn voidaan katsoa olevan laillista.
31 Tätä tulkintaa tukee direktiivin 95/46 7 artiklassa käytetty ilmaisu ”voidaan käsitellä ainoastaan, jos” ja ”tai”-konjunktio, jotka kuvaavat sitä, että artiklassa oleva luettelo on rajattu tyhjentäväksi.
32 Tästä seuraa, että jäsenvaltiot eivät voi lisätä direktiivin 95/46 7 artiklaan uusia henkilötietojen käsittelyn laillistamista koskevia periaatteita eivätkä säätää lisävaatimuksista, joilla muutettaisiin jonkin niiden kuuden periaatteen ulottuvuutta, joista tässä artiklassa on säädetty.
33 Edellä esitettyä tulkintaa ei voida asettaa kyseenalaiseksi direktiivin 95/46 5 artiklalla. Siinä nimittäin annetaan jäsenvaltioille lupa määritellä henkilötietojen käsittelyn laillisuuden edellytykset ainoastaan II luvussa eli näin siis sen 7 artiklassa säädetyissä rajoissa.
34 Harkintavaltaa, joka jäsenvaltioilla on direktiivin 5 artiklan nojalla, voidaan siis käyttää ainoastaan direktiivin 95/46 sen tavoitteen mukaisesti, joka koskee henkilötietojen vapaan liikkuvuuden ja yksityiselämän suojan välisen tasapainon säilyttämistä (ks. em. asia Lindqvist, tuomion 97 kohta).
35 Direktiivissä 95/46 on sääntöjä, jotka ovat luonteeltaan joustavia, ja siinä jätetään jäsenvaltioille useissa tapauksissa valta määrätä yksityiskohdista tai valita eri vaihtoehtojen välillä (ks. em. asia Lindqvist, tuomion 83 kohta). On siis syytä erottaa toisistaan yhtäältä sellaiset kansalliset toimenpiteet, joilla vahvistetaan lisävaatimuksia, joilla muutetaan jonkin direktiivin 7 artiklassa tarkoitetun periaatteen ulottuvuutta, ja toisaalta sellaiset kansalliset toimenpiteet, joilla vain tarkennetaan jotakin näistä periaatteista. Ensin mainitun tyyppiset kansalliset toimenpiteet ovat kiellettyjä. Jäsenvaltioilla on vain jälkimmäisten kansallisten toimenpiteiden tyyppisten toimenpiteiden suhteen direktiivin 95/46 5 artiklan nojalla tietty harkintavalta.
36 Tästä seuraa, että jäsenvaltiot eivät voi myöskään direktiivin 95/46 5 artiklan perusteella ottaa käyttöön muita henkilötietojen käsittelyn laillistamista koskevia periaatteita kuin ne, jotka mainitaan direktiivin 7 artiklassa, eivätkä lisävaatimuksilla muuttaa mainitussa artiklassa säädettyjen kuuden periaatteen ulottuvuutta.
37 Direktiivin 95/46 7 artiklan f alakohdassa säädetäänkin, että henkilötietojen käsittely on laillista, ”jos käsittely on tarpeen rekisterinpitäjän tai tiedot saavan sivullisen oikeutetun intressin toteuttamiseksi, paitsi milloin tämän intressin syrjäyttävät rekisteröidyn 1 artiklan 1 kohdan perusteella suojaa tarvitsevat intressit ja perusoikeudet ja -vapaudet”.
38 Direktiivin 7 artiklan f alakohdassa säädetään kahdesta kumulatiivisesta edellytyksestä, joiden on täytyttävä, jotta henkilötietojen käsittelyä voidaan pitää laillisena, eli yhtäältä edellytetään sitä, että henkilötietojen käsittelyn on oltava tarpeen rekisterinpitäjän tai sen sivullisen, jolle tiedot on luovutettu, oikeutetun intressin toteuttamiseksi, ja toisaalta sitä, etteivät rekisteröidyn perusoikeudet ja -vapaudet syrjäytä tätä intressiä.
39 Tästä seuraa, että direktiivin 95/46 7 artiklan f alakohta on esteenä kaikelle sellaiselle lainsäädännölle, jonka mukaan henkilötietojen käsittelyltä silloin, kun rekisteröidyn suostumusta ei ole saatu, edellytetään edellisessä kohdassa mainittujen kahden kumulatiivisen edellytyksen lisäksi muiden lisäedellytysten täyttymistä.
40 On kuitenkin otettava huomioon, että näistä edellytyksistä jälkimmäinen edellyttää kyseessä olevien vastakkaisten oikeuksien ja intressien punnitsemista, joka riippuu lähtökohtaisesti kunkin tapauksen konkreettisista olosuhteista ja jossa punnitsemisen suorittavan henkilön tai elimen on otettava huomioon rekisteröidyn niiden oikeuksien merkitys, jotka perustuvat Euroopan unionin perusoikeuskirjan 7 ja 8 artiklaan.
41 Tässä on tuotava esiin se, että perusoikeuskirjan 8 artiklan 1 kohdan mukaan ”jokaisella on oikeus henkilötietojensa suojaan”. Tämä perusoikeus liittyy kiinteästi perusoikeuskirjan 7 artiklassa vahvistettuun oikeuteen, joka koskee yksityiselämän kunnioitusta (yhdistetyt asiat C-92/09 ja C-93/09, Volker und Markus Schecke ja Eifert, tuomio 9.11.2010, 47 kohta, ei vielä julkaistu oikeustapauskokoelmassa).
42 Unionin tuomioistuimen oikeuskäytännön mukaan perusoikeuskirjan 7 ja 8 artiklassa tunnustettu oikeus yksityiselämän kunnioittamiseen henkilötietojen käsittelyssä koskee kaikenlaisia tunnistettua tai tunnistettavissa olevaa luonnollista henkilöä koskevia tietoja (ks. em. yhdistetyt asiat Volker und Markus Schecke ja Eifert, tuomion 52 kohta). Perusoikeuskirjan 8 artiklan 2 kohdan ja 52 artiklan 1 kohdan mukaan tätä oikeutta voidaan kuitenkin tietyin edellytyksin rajoittaa.
43 Lisäksi on muistettava, että jäsenvaltioiden on pannessaan täytäntöön direktiiviä 95/46 huolehdittava siitä, että ne nojautuvat sellaiseen direktiivin tulkintaan, jolla voidaan varmistaa unionin oikeusjärjestyksessä suojattujen eri perusoikeuksien ja -vapauksien välinen asianmukainen tasapaino (ks. analogisesti asia C-275/06, Promusicae, tuomio 29.1.2008, Kok., s. I-271, 68 kohta).
44 Direktiivin 95/46 7 artiklan f alakohdan edellyttämää punnitsemista varten voidaan ottaa huomioon se, että rekisteröidyn perusoikeuksiin häntä koskevien tietojen käsittelyn vuoksi kohdistuvan loukkauksen vakavuus voi vaihdella sen mukaan, ovatko kyseessä olevat tiedot mahdollisesti jo yleisön saatavilla olevassa lähteessä.
45 Yleisön saatavilla olevassa lähteessä olevien tietojen käsittelystä poiketen nimittäin sellaisten tietojen käsittely, jotka eivät ole yleisön saatavilla olevassa lähteessä, merkitsee välttämättä, että rekisteröidyn yksityiselämää koskevia tietoja tulee käsittelystä vastaavan henkilön tietoon tai mahdollisesti sellaisen sivullisen tietoon, jolle tiedot on luovutettu. Tällainen rekisteröidylle perusoikeuskirjan 7 ja 8 artiklassa taattujen oikeuksien vakavampi loukkaaminen on otettava asianmukaisesti huomioon verrattaessa sen painoarvoa siihen oikeutettuun intressiin, joka on rekisterinpitäjällä tai sivullisella, jolle tiedot on luovutettu.
46 Tässä yhteydessä on korostettava sitä, että mikään ei ole esteenä sille, että jäsenvaltiot vahvistavat periaatteellisia ohjeita kyseistä punnitsemista varten niille direktiivin 95/46 5 artiklassa annetun harkintavallan puitteissa.
47 Kyseessä ei kuitenkaan ole enää 5 artiklassa tarkoitettu täsmennys, jos kansallisella lainsäädännöllä suljetaan kokonaan pois tiettyjen henkilötietoryhmien osalta mahdollisuus niiden käsittelyyn vahvistamalla näiden ryhmien osalta lopullisesti se, mikä vastakkaisten oikeuksien ja intressien punnitsemisen tulos on, sallimatta muunlaista tulosta tiettyjen konkreettisessa tapauksessa vallitsevien erityisten olosuhteiden perusteella.
48 Näin ollen – ja tämän vaikuttamatta direktiivin 95/46 8 artiklan soveltamiseen, joka koskee erityisiin tietoryhmiin kuuluvien tietojen käsittelyä ja josta ei ole kyse pääasiassa – direktiivin 95/46 7 artiklan f alakohta on esteenä sille, että jäsenvaltio sulkee ehdottomasti ja yleisesti pois mahdollisuuden käsitellä tiettyihin tietoryhmiin kuuluvia henkilötietoja sallimatta niiden oikeuksien ja intressien punnitsemista, joista on kyse tietyssä yksittäisessä tapauksessa.
49 Näiden näkökohtien perusteella ensimmäiseen kysymykseen on vastattava, että direktiivin 95/46 7 artiklan f alakohtaa on tulkittava siten, että se on esteenä kansalliselle lainsäädännölle, jonka mukaan silloin, kun rekisteröidyn suostumusta ei ole saatu, henkilötietojen käsittely, joka on tarpeen rekisterinpitäjän tai sivullisen, jolle tiedot on luovutettu, oikeutettujen intressien toteuttamiseksi, edellyttää rekisteröidyn perusoikeuksien ja -vapauksien kunnioittamisen lisäksi sitä, että henkilötiedot ovat yleisön saatavilla olevissa lähteissä, ja jolla suljetaan näin ehdottomasti ja yleisesti pois mahdollisuus käsitellä tietoja, jotka eivät ole tällaisissa yleisön saatavilla olevissa lähteissä.
Toinen kysymys
50 Ennakkoratkaisua pyytäneen tuomioistuimen toinen kysymys koskee sitä, onko direktiivin 95/46 7 artiklan f alakohdalla välitön oikeusvaikutus.
51 Tässä yhteydessä on muistettava, että unionin tuomioistuimen vakiintuneen oikeuskäytännön mukaan aina, kun direktiivin säännökset ovat sisällöltään ehdottomia ja riittävän täsmällisiä, yksityiset voivat vedota niihin kansallisissa tuomioistuimissa jäsenvaltiota vastaan silloin, kun se ei ole määräajassa pannut täytäntöön direktiiviä tai kun se on pannut sen täytäntöön virheellisesti (ks. asia C-203/10, Auto Nikolovi, tuomio 3.3.2011, 61 kohta oikeuskäytäntöviittauksineen, ei vielä julkaistu oikeustapauskokoelmassa).
52 Todettakoon, että direktiivin 95/46 7 artiklan f alakohta on riittävän täsmällinen mahdollistaakseen sen, että yksityishenkilö voi vedota siihen ja että kansallinen tuomioistuin voi soveltaa sitä. Lisäksi on niin, että vaikka jäsenvaltioilla onkin direktiivin 95/46 nojalla eittämättä enemmän tai vähemmän laaja harkintavalta tiettyjen sen säännösten täytäntöönpanossa, 7 artiklan f alakohdassa muotoiltu velvoite on kuitenkin ehdoton (ks. analogisesti em. yhdistetyt asiat Österreichischer Rundfunk ym., tuomion 100 kohta).
53 Direktiivin 95/46 7 artiklan f alakohdassa käytetty ilmaus ”paitsi, milloin” ei sellaisenaan kyseenalaista tämän säännöksen ehdottomuutta, jota edellä lainatussa oikeuskäytännössä tarkoitetaan.
54 Näin on siksi, että ilmaisua on käytetty direktiivin 7 artiklan f alakohdassa tarkoitetun sen toisen kumulatiivisen edellytyksen muotoilemiseksi, jonka täyttymistä edellytetään mahdollisuudelta käsitellä henkilötietoja ilman rekisteröidyn suostumusta. Koska kyseinen edellytys on määritelty, se ei poista 7 artiklan f alakohdan täsmällisyyttä ja ehdottomuutta.
55 Toiseen kysymykseen on siis vastattava, että direktiivin 7 artiklan f alakohdalla on välitön oikeusvaikutus.
Oikeudenkäyntikulut
56 Pääasioiden asianosaisten osalta asioiden käsittely unionin tuomioistuimessa on välivaihe kansallisessa tuomioistuimessa vireillä olevien asioiden käsittelyssä, minkä vuoksi kansallisen tuomioistuimen asiana on päättää oikeudenkäyntikulujen korvaamisesta. Oikeudenkäyntikuluja, jotka ovat aiheutuneet muille kuin näille asianosaisille huomautusten esittämisestä unionin tuomioistuimelle, ei voida määrätä korvattaviksi.
Näillä perusteilla unionin tuomioistuin (kolmas jaosto) on ratkaissut asiat seuraavasti:
1) Yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY 7 artiklan f alakohtaa on tulkittava siten, että se on esteenä kansalliselle lainsäädännölle, jonka mukaan silloin, kun rekisteröidyn suostumusta ei ole saatu, henkilötietojen käsittely, joka on tarpeen rekisterinpitäjän tai sivullisen, jolle tiedot on luovutettu, oikeutettujen intressien toteuttamiseksi, edellyttää rekisteröidyn perusoikeuksien ja -vapauksien kunnioittamisen lisäksi sitä, että henkilötiedot ovat yleisön saatavilla olevissa lähteissä, ja jolla suljetaan näin ehdottomasti ja yleisesti pois mahdollisuus käsitellä tietoja, jotka eivät ole tällaisissa yleisön saatavilla olevissa lähteissä.
2) Direktiivin 95/46 7 artiklan f alakohdalla on välitön oikeusvaikutus.
Allekirjoitukset
* Oikeudenkäyntikieli: espanja.