1.

Taksinkuljettaja oli pysäyttänyt autonsa ajoväylän reunaan Riiassa. Kun Rīgas satiksmen (vastapuoli) omistama johdinauto ohitti taksia, taksin matkustaja avasi yhtäkkiä oven. Johdinauto törmäsi oveen ja vaurioitui. Rīgas satiksme pyysi poliisia (valittaja) ilmoittamaan sille matkustajan henkilöllisyyden. Se halusi vaatia häneltä korvauksia johdinautolle aiheutuneesta vahingosta siviilituomioistuimissa. Poliisi ilmoitti Rīgas satiksmelle ainoastaan matkustajan nimen. Se kieltäytyi antamasta matkustajan henkilökortin numeroa ja hänen osoitettaan.

2.

Tätä taustaa vasten ennakkoratkaisua pyytänyt tuomioistuin tiedustelee, vahvistetaanko direktiivin 95/46/EY (jäljempänä direktiivi) ( 2 ) 7 artiklan f alakohdassa velvollisuus luovuttaa kaikki henkilötiedot, jotka ovat tarpeen siviilioikeudellisen kanteen nostamiseksi hallinnollisesta rikkomuksesta väitetysti vastuussa olevaa henkilöä vastaan. Se kysyy myös, onko vastauksen kannalta merkitystä sillä, että kyseinen henkilö on alaikäinen.

3.

Perusoikeuskirjan 7 artiklan mukaan ”jokaisella on oikeus siihen, että hänen yksityis- ja perhe-elämäänsä, kotiaan sekä viestejään kunnioitetaan”.

4.

Perusoikeuskirjan 8 artiklassa määrätään seuraavaa:

5.

SEUT 16 artiklan 1 kohdan mukaan ”jokaisella on oikeus henkilötietojensa suojaan”.

6.

Direktiivin 2 artiklassa määritellään tiettyjä direktiivissä käytettyjä termejä. Sen mukaan

– –

– –”

7.

Direktiivin II luvun nimeltä ”Yleiset säännöt henkilötietojen käsittelyn laillisuudesta” 5 artiklassa säädetään, että ”jäsenvaltioiden on määriteltävä henkilötietojen käsittelyn laillisuuden edellytykset tämän luvun säännösten rajoissa”.

8.

Direktiivin 6 artiklan 1 kohdassa säädetään seuraavaa: ”Jäsenvaltioiden on säädettävä siitä, että

– –

– –”

9.

Direktiivin 7 artiklassa säädetään seuraavaa: ”Jäsenvaltioiden on säädettävä siitä, että henkilötietoja voidaan käsitellä ainoastaan,

10.

Direktiivin 8 artiklassa kielletään lähtökohtaisesti erityisiä tietoryhmiä koskeva tietojenkäsittely, kuten sellaisten henkilötietojen käsittely, jotka koskevat rotua tai etnistä alkuperää, poliittisia mielipiteitä ja uskonnollista tai filosofista vakaumusta. Siinä säädetään kuitenkin useista poikkeuksista.

11.

Direktiivin 8 artiklan 2 kohdan e alakohdan mukaan kieltoa ei sovelleta etenkään, kun ”käsittely on tarpeen oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi”.

12.

Direktiivin 8 artiklan 5 kohdan toisessa alakohdassa säädetään seuraavaa:

”Jäsenvaltiot voivat säätää siitä, että myös hallinnollisiin sanktioihin tai siviiliprosesseihin liittyviä tietoja on käsiteltävä julkisen viranomaisen valvonnassa.”

13.

Direktiivin 8 artiklan 7 kohdan mukaan ”jäsenvaltioiden on määriteltävä olosuhteet, joiden vallitessa henkilönumeroa tai muuta yleistä tunnistetta voidaan käsitellä”.

14.

Direktiivin 14 artiklassa säädetään seuraavaa: ”Jäsenvaltioiden on turvattava rekisteröidylle oikeus

– –”.

15.

Direktiivi on kumottu asetuksella (EU) 2016/679. ( 3 ) Asetus tuli voimaan 24.5.2016, mutta sitä sovelletaan vasta 25.5.2018 alkaen.

16.

Henkilötietojen suojasta annetun lain (Fizisko personu datu aizsardzības likums) 7 §:n sanamuoto noudattaa direktiivin 7 artiklan sanamuotoa. Sen mukaan on niin, että jollei kyseisessä laissa toisin säädetä, henkilötietojen käsittely on sallittua vain, jos vähintään yksi seuraavista vaatimuksista täyttyy:

17.

Riiassa tapahtui joulukuussa 2012 liikenneonnettomuus. Taksinkuljettaja oli pysäyttänyt autonsa ajoväylän reunaan. Rīgas satiksmen johdinauto ajoi taksin rinnalle, ja samalla hetkellä taksin matkustaja avasi oven, jolloin ovi osui johdinauton kylkeen ja vaurioitti sitä. Onnettomuuden johdosta käynnistettiin hallinnollinen menettely ja laadittiin pöytäkirja, jossa todettiin hallinnollisen rikkomuksen tapahtuneen.

18.

Rīgas satiksme katsoi aluksi taksinkuljettajan olevan vastuussa kyseisestä onnettomuudesta, joten se vaati vahingonkorvausta vakuutusyhtiöltä, jossa taksin omistajalla oli vastuuvakuutus. Vakuutusyhtiö ilmoitti kuitenkin Rīgas satiksmelle, ettei se maksaisi korvausta, sillä onnettomuuden oli aiheuttanut taksinkuljettajan sijasta matkustaja, jota vastaan Rīgas satiksme voisi nostaa siviilioikeudellisen kanteen.

19.

Rīgas satiksme otti yhteyttä Valsts policijas Rīgas reģiona pārvaldes Kārtības policijas pārvaldes Satiksmes administratīvo pārkāpumu izskatīšanas birojsiin (liikennerikkomuksista vastaava Riian alueen turvallisuuspoliisin toimisto, jäljempänä poliisi). Se pyysi poliisilta tietoja henkilöstä, jolle oli määrätty hallinto-oikeudellinen seuraamus kyseisestä onnettomuudesta. Tarkemmin sanottuna se pyysi ilmoittamaan matkustajan nimen, henkilötodistuksen numeron ja osoitteen sekä toimittamaan jäljennökset asiakirjoista, joista käyvät ilmi taksinkuljettajan ja matkustajan selvitykset onnettomuuden olosuhteista. Rīgas satiksme vahvisti poliisille, että pyydettyjä tietoja käytettäisiin ainoastaan siviilioikeudellisen kanteen nostamiseen kyseistä henkilöä vastaan.

20.

Poliisi täytti Rīgas satiksmen pyynnön vain osittain ilmoittamalla sille matkustajan nimen. Se kieltäytyi antamasta hänen henkilötodistuksensa numeroa ja osoitettaan. Se ei myöskään toimittanut Rīgas satiksmelle onnettomuudessa osallisena olleiden henkilöiden antamia selvityksiä.

21.

Poliisin ratkaisu perustui siihen, että hallinnollisen seuraamusmenettelyn asiakirjat voidaan luovuttaa vain kyseisen menettelyn osapuolille. Rīgas satiksme ei ollut menettelyn osapuoli. Datu valsts inspekcija (Latvian tietosuojaviranomainen) kieltää lisäksi yksityishenkilöiden henkilötodistuksen numeron ja osoitteen luovuttamisen.

22.

Latvian hallinnollisia rikkomuksia koskevan lain (Latvijas Administratīvo pārkāpumu kodekss) 261 §:n mukaisesti henkilölle voidaan antaa hänen nimenomaisesta pyynnöstään asianomistajan asema hallinnollisissa seuraamusmenettelyissä. Rīgas satiksme ei käyttänyt oikeuttaan pyytää itselleen asianomistajan asemaa mainitussa menettelyssä.

23.

Rīgas satiksme nosti kanteen poliisin ratkaisusta siltä osin kuin siinä kieltäydyttiin luovuttamasta matkustajan henkilötodistuksen numeroa ja osoitetta.

24.

Administratīvā rajona tiesa (alueellinen hallintotuomioistuin) hyväksyi 16.5.2014 antamassaan tuomiossa Rīgas satiksmen nostaman kanteen. Se määräsi poliisin luovuttamaan pyydetyt tiedot eli taksimatkustajan henkilötodistuksen numeron ja hänen osoitteensa.

25.

Poliisi valitti tuomiosta Augstākā tiesaan (ylin tuomioistuin, Latvia), joka on esittänyt tämän ennakkoratkaisupyynnön. Ennakkoratkaisua pyytänyt tuomioistuin pyysi ensiksi lausuntoa Latvian tietosuojaviranomaiselta. Tämä totesi, ettei tietoja voitu käsiteltävässä asiassa toimittaa henkilötietojen suojasta annetun lain 7 §:n 6 momentin perusteella, sillä ne luonnolliset henkilöt tai oikeushenkilöt, joille poliisi voi lähettää tiettyä asiaa koskevia tietoja, on vahvistettu hallinnollisia rikkomuksia koskevassa laissa. Näin ollen hallinnolliseen seuraamusmenettelyyn liittyviä henkilötietoja voidaan luovuttaa ainoastaan kyseisen pykälän 3 ja 5 momentin mukaisesti. Henkilötietojen suojasta annetun lain 7 §:ssä ei myöskään velvoiteta rekisterinpitäjää (tässä tapauksessa poliisia) käsittelemään tietoja, vaan siinä ainoastaan sallitaan tietojen käsittely.

26.

Latvian tietosuojaviranomainen totesi lisäksi, että Rīgas satiksmella oli muitakin keinoja saada tiedot: se voisi esittää perustellun pyynnön Iedzīvotāju reģistrsille (Latvian väestörekisteri) tai vaatia tuomioistuimissa oikeutta saada tietoja todisteista Latvian siviiliprosessilain (Civilprocesa likums) 98, 99 ja 100 §:n nojalla. Tuomioistuin voi tämän jälkeen määrätä poliisia toimittamaan henkilötiedot, joita Rīgas satiksme tarvitsee voidakseen nostaa siviilioikeudellisen kanteen kyseistä henkilöä vastaan.

27.

Ennakkoratkaisua pyytänyt tuomioistuin ei ole vakuuttunut Latvian tietosuojaviranomaisen mainitsemasta vaihtoehtoisesta keinosta saada henkilötietoja. Jos väestörekisteristä pyydetään tietoja ainoastaan taksimatkustajan nimen perusteella, samannimisiä henkilöitä voi olla useampia. Tällöin oikea henkilö voidaan tunnistaa ainoastaan sellaisten lisätietojen perusteella, joita käsiteltävässä asiassa on pyydetty (henkilötodistuksen numero ja osoite). Latvian tietosuojaviranomaisen mainitsemat siviiliprosessilain pykälät koskevat lisäksi todisteiden esittämistä. Siviiliprosessilain 128 §:n mukaisesti kanteen nostamisen yhteydessä on ilmoitettava vastaajan nimi, henkilötodistuksen numero (jos tiedossa) sekä laillinen kotipaikka ja rekisteriin merkitty muu osoite tai, jos näitä tietoja ei ole, vastaajan prosessiosoite. Kantajan pitäisi siis tietää vähintäänkin vastaajan asuinpaikka.

28.

Ennakkoratkaisua pyytäneen tuomioistuimen mukaan tarvittavien henkilötietojen saamiseksi käytettävät muut keinot ovat siten epävarmoja tai tehottomia. Voi siis olla, että oikeutettuja intressejään suojatakseen Rīgas satiksmen on saatava kyseiset henkilötiedot poliisilta.

29.

Ennakkoratkaisua pyytänyt tuomioistuin katsoo myös, että 7 artiklan f alakohdassa käytetyn tarpeellisuuden käsitteen tulkinnassa on epäselvyyttä ja että käsiteltävän riita-asian ratkaiseminen edellyttää kyseisen käsitteen tulkintaa.

30.

Augstākās tiesas Administratīvo lietu departaments (ylimmän tuomioistuimen hallinto-oikeudellisia asioita käsittelevä jaosto, Latvia) päätti näin ollen lykätä asian käsittelyä ja esittää unionin tuomioistuimelle seuraavat ennakkoratkaisukysymykset:

”Onko yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY 7 artiklan f alakohdassa olevaa ilmaisua ’on tarpeen – – tiedot saavan sivullisen oikeutetun intressin toteuttamiseksi’ tulkittava siten, että Latvian poliisin on annettava Rīgas satiksmelle tämän pyytämät henkilötiedot, jotka ovat tarpeen siviilioikeudellisen kanteen nostamiseksi? Onko edelliseen kysymykseen annettavaan vastaukseen vaikutusta sillä seikalla, että – kuten asiakirja-aineistosta käy ilmi – taksimatkustaja, jota koskevia tietoja Rīgas satiksme yrittää saada, oli onnettomuuden tapahtumahetkellä alaikäinen?”

31.

Kirjallisia huomautuksia ovat esittäneet Rīgas satiksme, komissio sekä Tšekin, Espanjan, Latvian, Itävallan ja Portugalin hallitukset. Komissio ja Latvian hallitus esittivät suullisia huomautuksia 24.11.2016 pidetyssä istunnossa.

32.

Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee lähinnä, onko henkilötietojen rekisterinpitäjä direktiivin mukaan velvollinen luovuttamaan tiedot, joiden avulla voidaan tunnistaa hallinnollisesta rikkomuksesta väitetysti vastuussa oleva henkilö, jotta Rīgas satiksme voi nostaa siviilioikeudellisen kanteen.

33.

Ytimekäs vastaukseni tähän kysymykseen on ”ei”. Direktiivissä ei vahvisteta tällaista velvollisuutta. Siinä ainoastaan säädetään mahdollisuudesta (joka tarkoittaa lupaa tai valtuutusta) luovuttaa tietoja, kunhan tietyt edellytykset täyttyvät. Mahdollisuus toteuttaa tiettyjä toimia lain nojalla on erotettava selvästi velvollisuudesta tehdä niin.

34.

Käsiteltävän asian tosiseikkojen perusteella vaikuttaa kuitenkin olevan kyse laajemmasta ongelmakentästä. Jo toimitettujen tietojen näkökulmasta unionin tuomioistuinta pyydetään ainakin osittain lausumaan myös direktiivin 7 artiklan f alakohdan soveltamisedellytyksistä sekä niiden henkilötietojen luonteesta ja kattavuudesta, joita tämän säännöksen nojalla voidaan pyytää.

35.

Tämä ratkaisuehdotus rakentuu siis seuraavasti: Ensimmäiseksi selitän, miksi direktiivissä ei mielestäni velvoiteta tietojen hallussapitäjää luovuttamaan tietoja (A osa). Toiseksi täydellisen ja hyödyllisen vastauksen antamiseksi käsiteltävässä asiassa ennakkoratkaisua pyytäneelle tuomioistuimelle esitän direktiivin 7 artiklan f alakohdan soveltamisen edellytykset ja määrittelen, kuinka kattavia tietoja tämän säännöksen nojalla voidaan pyytää (B osa).

36.

Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee, onko direktiivin 7 artiklan f alakohdan nojalla henkilötiedot luovutettava siviilioikeudellisen kanteen nostamista varten. Se toisin sanoen tiedustelee, asetetaanko direktiivissä velvollisuus henkilötietojen luovuttamiseen.

37.

Mielestäni direktiivistä ei voida johtaa tällaista velvollisuutta. Näin voidaan yksiselitteisesti päätellä direktiivin sanamuodosta ja järjestelmästä sekä sen tarkoituksesta.

38.

Direktiivin järjestelmän ja logiikan mukaan direktiivin taustalla on sääntö, jonka mukaan henkilötietoja ei yleensä pitäisi käsitellä, jotta voidaan varmistaa yksityisyyttä koskevan oikeuden korkeatasoinen suoja. ( 4 ) Henkilötietoja on luonteensa vuoksi käsiteltävä vain poikkeustapauksissa.

39.

Direktiivin 7 artikla kuuluu tähän järjestelmään. Siinä luetellaan pääsääntöä koskevia poikkeuksia, joiden mukaan henkilötietojen käsittely on laillista tietyin tarkkaan määritellyin edellytyksin. Direktiivin 7 artiklassa esitetyt tilanteet ovat siis poikkeuksia yleiseen sääntöön.

40.

Tätä taustaa vasten 7 artiklan sanamuodossa vahvistetaan selvästi, että luetelluissa tosiasiallisissa tilanteissa henkilötietoja on mahdollista käsitellä – mutta siihen ei ole velvollisuutta – kun tilanne kuuluu jonkin lakisääteisen poikkeuksen piiriin. Mainitun säännöksen mukaan ”jäsenvaltioiden on säädettävä siitä, että henkilötietoja voidaan käsitellä ainoastaan, jos – –”. ( 5 ) Kyseisestä muotoilusta, jota käytetään myös muissa kielitoisinnoissa, ( 6 ) voidaan selvästi päätellä, että 7 artiklan poikkeukset todellakin ovat poikkeuksia. Niiden ei voida tulkita velvoittavan henkilötietojen käsittelyyn.

41.

Edellä esitettyyn päätelmään ei vaikuta se, että ainakin joillakin 7 artiklan poikkeuksista on välitön oikeusvaikutus. ( 7 ) Ne eivät sinällään synnytä oikeutta tietojen saamiseen niille, jotka tietoja ovat pyytäneet, eivätkä vastaavaa velvollisuutta tietojen luovuttamiseen niille, jotka pitävät tietoja hallussaan. Direktiivin 7 artiklassa pikemminkin vahvistetaan yleiset säännöt, joiden perusteella henkilötietojen käsittelijä päättää, voiko se käsitellä saamiaan henkilötietoja ja milloin, miten ja kuinka laajasti se voi niin tehdä.

42.

Tämän lisäksi direktiivin yleisenä tarkoituksena on säätää unionin yhteisistä henkilötietojen käsittelyä koskevista rajoista ja rajoituksista. Henkilötietojen käsittelyn yksittäisistä perusteista ja syistä säädetäänkin tyypillisesti kansallisessa lainsäädännössä tai muissa unionin säädöksissä. Toisin sanoen direktiivillä rajoitetaan tietojen käsittelyä eikä päinvastoin kehoteta siihen.

43.

Direktiivin sanamuoto, järjestelmä, logiikka ja tarkoitus viittaavat siten melko selvästi siihen, ettei 7 artiklan f alakohtaa voida tulkita siten, että siinä itsessään säädettäisiin velvollisuudesta luovuttaa henkilötietoja.

44.

Laajemmasta näkökulmasta voidaan lisätä, ettei tällainen rakenne ole missään tapauksessa vieras muillakaan unionin oikeuden aloilla, joilla unionin johdetun oikeuden teksteissä viitataan suoraan tai välillisesti henkilötietoihin.

45.

Tietojen luovuttamisvelvollisuudesta ei säädetä myöskään esimerkiksi yksityisyyden suojaa sähköisen viestinnän alalla koskevassa direktiivissä 2002/58/EY, ( 8 ) joka täydentää direktiiviä 95/46 sähköisen viestinnän alan osalta. Tuomiossa Promusicae tehtiin selväksi, ettei direktiivissä N:o 2002/58 suljeta pois jäsenvaltioiden mahdollisuutta säätää velvollisuudesta luovuttaa henkilötietoja siviiliprosessin yhteydessä eikä myöskään velvoiteta niitä säätämään tällaisesta velvollisuudesta. ( 9 ) Päätöksen tekevät siis jäsenvaltiot itse. Unionin oikeudesta ei seuraa tällaista velvollisuutta.

46.

Unionin tuomioistuin on myös todennut, ettei muissakaan direktiiveissä, ( 10 ) jotka liittyvät henkilötietoihin mutta joiden päätavoitteena on varmistaa immateriaalioikeuksien tehokas suoja tietoyhteiskunnassa, ( 11 ) edellytetä jäsenvaltioiden säätävän velvollisuudesta luovuttaa henkilötietoja tekijänoikeuden tehokkaan suojan varmistamiseksi siviiliprosessin yhteydessä. ( 12 )

47.

Kuten ennakkoratkaisua pyytänyt tuomioistuin totesi, vastapuoli sai joitakin henkilötietoja: kyseisen henkilön etu- ja sukunimen. Muiden tietojen luovuttamisesta kieltäydyttiin. Tämä on oletettavasti tehty kansallisen lainsäädännön nojalla.

48.

Tosiasiassa luovutettujen henkilötietojen näkökulmasta merkitystä on siis sillä, oliko tietojen luovutus sopusoinnussa direktiivin 7 artiklan kanssa.

49.

On kuitenkin korostettava selvästi sitä, että tämän ratkaisuehdotuksen jälkimmäisessä osassa tarkastellaan mahdollisuutta luovuttaa henkilötietoja käsiteltävässä asiassa kyseessä olevan kaltaisessa tosiasiallisessa tilanteessa sillä edellytyksellä, että kansallinen lainsäädäntö tarjoaa oikeudellisen perustan luovuttamiselle. Mitkä rajat asetetaan unionin oikeudessa toisin sanoen henkilötietojen luovuttamiselle kyseisessä tilanteessa? Jos kansallisessa oikeudessa säädetään henkilötietojen luovuttamisesta vastaavassa tilanteessa, onko luovuttaminen sopusoinnussa direktiivin 7 artiklan f alakohdan kanssa?

50.

Käsiteltävässä asiassa kyseessä olevan kaltaisessa tilanteessa on mielestäni täysin 7 artiklan f alakohdan mukaista luovuttaa henkilötietoja siinä laajuudessa, että vahinkoa kärsinyt osapuoli voi panna vireille siviilioikeudellisen menettelyn.

51.

Tarkastelen tässä osassa näin ollen ensiksi asianmukaista oikeudellista perustaa direktiivin mukaiselle henkilötietojen käsittelylle vastaavassa tosiasiallisessa tilanteessa. Sen jälkeen esitän direktiivin 7 artiklan f alakohdan soveltamisedellytykset. Lopuksi arvioin käsiteltävää asiaa näiden edellytysten näkökulmasta.

52.

Kirjallisissa ja suullisissa huomautuksissa esille otettiin ensisijaisesti se, mitä direktiivin 7 artiklan alakohdista olisi sovellettava käsiteltävässä asiassa kyseessä olevan kaltaisessa tosiasiallisessa tilanteessa.

53.

Useimmat asianosaiset ja muut osapuolet vetosivat ennakkoratkaisua pyytäneen tuomioistuimen tavoin 7 artiklan f alakohtaan. Itävallan hallitus väitti kuitenkin kirjallisissa huomautuksissaan, ettei direktiivin 7 artiklan f alakohta ole oikea oikeudellinen perusta edes siviilioikeudellisen menettelyn aloittamisen kannalta. Tämä johtuu siitä, että siinä esitetyt perusteet tietojen käsittelylle ovat väitetysti liian abstraktit ja epätäsmälliset. Se ei näin ollen voi oikeuttaa tällaista puuttumista tietosuojaa koskevaan oikeuteen.

54.

Komissio keskittyi kirjallisissa huomautuksissaan 7 artiklan f alakohtaan. Suullisissa huomautuksissaan se sen sijaan esitti, että käsiteltävässä asiassa kyseessä olevan kaltainen tietojen käsittely voisi kuulua myös direktiivin 7 artiklan c tai e alakohdan soveltamisalaan.

55.

Direktiivin 7 artikla tarjoaa oikeudellisen perustan lailliselle tietojenkäsittelylle kuudessa eri tilanteessa. Jotta tietoja voitaisiin käsitellä, niiden on kuuluttava ainakin yhteen 7 artiklassa esitettyyn luokkaan. On kuitenkin selvää, että kyseisten säännösten soveltamisalat ja perusteet eroavat toisistaan.

56.

Laajemmasta teoreettisesta näkökulmasta 7 artikla sisältää kolmentyyppisiä poikkeustilanteita, joissa henkilötietojen käsittely on laillista: ensinnäkin, kun rekisteröity on antanut suostumuksensa (7 artiklan a alakohta), toiseksi, kun kyse on jossain määrin myös rekisterinpitäjän tai tiedot saavan sivullisen oikeutetusta intressistä (7 artiklan b–e alakohta), ja kolmanneksi, kun kilpailevat oikeutetut intressit on paitsi osoitettu ne myös syrjäyttävät rekisteröidyn intressit tai perusoikeudet ja ‑vapaudet (7 artiklan f alakohta).

57.

Näin ollen 7 artiklan f alakohta on toki ulottuvuudeltaan laajempi kuin sen c tai e alakohta. Ensin mainittua alakohtaa eivät rajaa tietyt oikeudelliset seikat tai tosiseikat, vaan se on muotoiltu melko yleisesti. Sen soveltamisen edellytykset ovat kuitenkin tiukemmat, sillä edellytyksenä on, että rekisterinpitäjällä tai sivullisella on oikeutettu intressi, joka syrjäyttää rekisteröidyn oikeutetun intressin, mitä ei edellytetä c ja e alakohdassa.

58.

Kun akateeminen pohdinta jätetään sikseen, kahta seikkaa on kuitenkin hyvä korostaa. Ensinnäkään 7 artiklan poikkeukset eivät sulje toisiaan pois. Tiettyyn tosiseikastoon voidaan siis soveltaa kahta tai jopa kaikkia kolmea poikkeusta. ( 13 ) Toiseksi hieman poikkeavasta sanamuodostaan huolimatta soveltamiserot ovat todennäköisesti käytännössä varsin vähäiset, jos kyseessä on selkeästi määritelty ja uskottava oikeutettu intressi.

59.

Kun nämä varaumat otetaan huomioon mutta päätösvalta jätetään kuitenkin kansalliselle tuomioistuimelle – joka tuntee kaikki asian tosiseikat ja kansallisen lainsäädännön sellaisina kuin ne on esitetty sen kysymyksessä ja katsoo, että on sovellettava direktiivin 7 artiklan f alakohdan poikkeusta – unionin tuomioistuimen on nähdäkseni tarkasteltava asiaa tästä lähtökohdasta.

60.

Direktiivin 7 artiklan f alakohta sisältää kaksi kumulatiivista edellytystä. Molempien on täytyttävä, jotta henkilötietojen käsittely olisi laillista: ensinnäkin henkilötietojen käsittelyn on oltava tarpeen rekisterinpitäjän tai tiedot saavan sivullisen oikeutetun intressin toteuttamiseksi. Toiseksi rekisteröidyn perusoikeuksien ja ‑vapauksien ei pidä syrjäyttää tätä intressiä. ( 14 )

61.

Toisen edellytyksen tavoitteena on kyseessä olevien intressien punnitseminen. Ensimmäinen edellytys voidaan tosiasiassa jakaa kahteen osaan didaktisista syistä: yhtäältä oikeutettuun intressiin itseensä ja toisaalta käsittelyn tarpeellisuuteen eli tietyntyyppiseen oikeasuhteisuuteen.

62.

Direktiivin 7 artiklan f alakohdan soveltamiseksi kolmen edellytyksen on siis täytyttävä: a) käsittelyn perusteena on oikeutettu intressi; b) intressi on ensisijainen rekisteröidyn oikeuksiin ja intresseihin verrattuna (intressivertailu); ja c) käsittely on tarpeen oikeutetun intressin toteuttamiseksi.

63.

Direktiivin 7 artiklan f alakohdan mukainen käsittely edellyttää ensinnäkin, että rekisterinpitäjällä tai sivullisella on oikeutettu intressi.

64.

Direktiivissä ei määritellä oikeutettua intressiä. ( 15 ) Rekisterinpitäjän tai henkilötietojen käsittelijän on siis kansallisten tuomioistuinten valvonnassa päätettävä, onko kyseessä oikeutettu tavoite, jolla voitaisiin perustella yksityiselämän suojaan puuttuminen.

65.

Unionin tuomioistuin on jo todennut, että avoimuus ( 16 ) sekä omaisuuden, terveyden ja yksityiselämän suojaaminen ( 17 ) ovat oikeutettuja intressejä. Oikeutetun intressin käsite on riittävän joustava, jotta se voi sisältää muitakin näkökohtia. On nähdäkseni täysin selvää, että oikeutettuna intressinä voidaan pitää sivullisen intressiä saada hänen omaisuuttaan vahingoittaneen henkilön henkilötiedot, jotta hän voisi vaatia tältä vahingonkorvauksia.

66.

Toinen edellytys liittyy kahden kilpailevan intressin eli rekisteröidyn intressin ja oikeuksien ( 18 ) sekä rekisterinpitäjän tai sivullisen intressin punnitsemiseen. Intressivertailua koskeva edellytys seuraa selvästi 7 artiklan f alakohdasta ja direktiivin lainsäädäntöhistoriasta. Direktiivin sanamuodosta on todettava, että 7 artiklan f alakohdassa edellytetään rekisteröidyn oikeutetun intressin sekä rekisterinpitäjän tai sivullisen oikeutetun intressin vertaamista keskenään. Lainsäädäntöhistoriasta ilmenee, että intressivertailu sisältyi hieman eri muodossa jo komission alkuperäiseen ehdotukseen ( 19 ) ja Euroopan parlamentin ensimmäisen käsittelyn jälkeen muutettuun komission ehdotukseen. ( 20 )

67.

Unionin tuomioistuin on todennut, että 7 artiklan f alakohdan soveltaminen edellyttää kyseessä olevien vastakkaisten oikeuksien ja intressien punnitsemista. On otettava huomioon rekisteröidyn niiden oikeuksien merkitys, jotka perustuvat perusoikeuskirjan 7 ja 8 artiklaan. ( 21 ) Punnitseminen on suoritettava tapauskohtaisesti. ( 22 )

68.

Punnitseminen on keskeisen tärkeää 7 artiklan f alakohdan asianmukaisen soveltamisen varmistamiseksi. Se erottaa kyseisen alakohdan kaikista muista 7 artiklan alakohdista. Punnitsemisessa on aina otettava huomioon kussakin konkreettisessa tapauksessa vallitsevat olosuhteet. Tästä syystä unionin tuomioistuin on korostanut, etteivät jäsenvaltiot voi vahvistaa tiettyjen henkilötietoryhmien osalta lopullisesti sitä, mikä vastakkaisten oikeuksien ja intressien punnitsemisen tulos on, sallimatta muunlaista tulosta tiettyjen konkreettisessa tapauksessa vallitsevien erityisten olosuhteiden perusteella. ( 23 )

69.

Jotta punnitsemisella olisi merkitystä, on otettava asianmukaisesti huomioon etenkin pyydettyjen tietojen luonne ja arkaluonteisuus, niiden saatavuus yleisistä lähteistä ( 24 ) ja rikkomuksen vakavuus. Eräs käsiteltävässä asiassa suoritettavan intressivertailun kannalta merkityksellinen seikka on rekisteröidyn ikä.

70.

Unionin tuomioistuin on todennut yleisesti tarpeellisuudesta tai tietystä oikeasuhteisuudesta, että henkilötietojen suojaa koskevat poikkeukset ja rajoitukset on toteutettava täysin välttämättömän rajoissa. ( 25 ) Niiden tietojen laatu ja määrä, joita voidaan käsitellä, ei saa ylittää sitä, mikä on tarpeen kyseessä olevan oikeutetun intressin toteuttamiseksi.

71.

Oikeasuhteisuuden tarkastelussa arvioidaan tavoitteiden ja valittujen toteuttamiskeinojen välistä suhdetta. Keinot eivät saa ylittää sitä, mikä on tarpeen tavoitteiden saavuttamiseksi. Tämä logiikka toimii myös toiseen suuntaan: keinoilla on voitava saavuttaa asetettu tavoite.

72.

Tarpeellisuutta arvioidessaan rekisterinpitäjällä on käytännössä kaksi vaihtoehtoa. Se voi joko kieltäytyä julkistamasta mitään tietoa tai, jos se päättää käsitellä kyseisiä tietoja, sen on annettava kaikki tarpeelliset tiedot kyseessä olevan oikeutetun intressin toteuttamiseksi. ( 26 )

73.

Ensinnäkin direktiivin 6 artiklan 1 kohdan c alakohdassa ja johdanto-osan 28 perustelukappaleessa edellytetään, että henkilötiedot ovat asianmukaisia, olennaisia eivätkä liian laajoja siihen tarkoitukseen, mihin ne on kerätty ja missä niitä myöhemmin käsitellään. ( 27 ) Näistä säännöksistä seuraa, että luovutettavien tietojen on oltava myös asianmukaisia ja olennaisia oikeutetun intressin toteuttamiseksi.

74.

Sen arvioinnissa, mitä tietoja on tosiasiassa aiheellista käsitellä, on lisäksi käytettävä maalaisjärkeä. Tietojen pyytäjille olisi annettava hyödyllisiä ja merkityksellisiä tietoja, jotka ovat heille tarpeellisia ja riittävät heidän oikeutetun intressinsä toteuttamiseen, siten, etteivät he joudu esittämään samaa pyyntöä toiselle taholle, jolla voi myös olla hallussaan nämä tiedot.

75.

Vertauskuvallisesti tarkasteltuna tarpeellisuuden kriteerin soveltaminen ei saa johtaa siihen, että oikeutetun intressin toteuttamisesta muodostuu kafkamainen kilpajuoksu, joka muistuttaa Fort Boyard ‑ Linnakkeen jaksoa, jossa osallistujat etenevät huoneesta toiseen löytääkseen vihjeitä piilotetun aarteen sijainnista.

76.

Vielä on toistettava, että luovutettavien tietojen täsmällinen ulottuvuus määräytyy kansallisen lainsäädännön mukaisesti. On toki mahdollista, että kansallisessa lainsäädännössä säädetään ainoastaan sellaisesta osittaisesta luovuttamisesta, joka ei riitä oikeutetun intressin toteuttamiseen. Vaikka kansallinen lainsäädäntö voi vaikuttaa hieman maalaisjärjen vastaiselta, se ei kuitenkaan ole automaattisesti ristiriidassa unionin oikeuden kanssa edellyttäen, että lainsäädäntö noudattaa jäsenvaltioille jäävää toimivaltaa. Tässä ainoastaan esitetään, ettei direktiivin 7 artiklan f alakohdassa estetä kaikkien niiden tarpeellisten tietojen täyttä luovuttamista, joita oikeutetun tavoitteen tehokas saavuttaminen edellyttää, kunhan muut edellytykset täyttyvät.

77.

Esitettyäni arvioinnin yleiset puitteet siirryn tarkastelemaan käsiteltävää asiaa sillä varaumalla, että lopullisen päätöksen tekee luonnollisesti kansallinen tuomioistuin, jolla on yksityiskohtaiset tiedot tosiseikoista ja kansallisesta lainsäädännöstä.

78.

Rīgas Satiksme pyysi poliisia ilmoittamaan sille taksimatkustajan osoitteen ja henkilötodistuksen numeron, jotta se voisi nostaa siviilioikeudellisen vahingonkorvauskanteen sille aiheutuneesta vahingosta.

79.

Kuten Tšekin, Espanjan ja Portugalin hallitukset perustellusti väittävät, oikeudellisen vaatimuksen esittäminen, kuten käsiteltävässä asiassa on tehty, on ensinnäkin 7 artiklan f alakohdassa tarkoitettu oikeutettu intressi.

80.

Näin todetaan myös direktiivin 8 artiklan 2 kohdan e alakohdassa, jonka mukaan tiettyjä arkaluonteisia tietoja voidaan käsitellä, ”jos käsittely on tarpeen oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi”. Jos oikeudellisen vaatimuksen esittäminen voi 8 artiklan nojalla olla perusteena arkaluonteisten tietojen käsittelylle, mielestäni sen on sitäkin suuremmalla syyllä oltava 7 artiklan f alakohdassa tarkoitettu oikeutettu intressi, johon muun kuin arkaluonteisen tiedon käsittely perustuu. Tähän tulkintaan päädytään myös tarkasteltaessa direktiiviä käytännönläheisesti muiden sellaisten (edellä mainittujen) johdetun oikeuden tekstien näkökulmasta, joilla pyritään tasapainottamaan yksityisyyden suoja ja tehokas oikeussuoja. ( 28 )

81.

Toiseksi kun tarkastellaan intressivertailua yleisesti, mielestäni ei ole syytä siihen, miksi rekisteröidyn perusoikeudelliset intressit syrjäyttäisivät vahinkoa kärsineen osapuolen erityisen oikeutetun tavoitteen panna vireille siviilioikeudellinen menettely. Tässä yhteydessä on ehkä aiheellista lisätä, että vastapuoli tosiasiassa vaatii ainoastaan mahdollisuutta panna oikeusmenettely vireille siviilituomioistuimessa. Tietojen julkaiseminen ei siis edes vaikuttaisi välittömästi rekisteröidyn oikeudelliseen tilanteeseen.

82.

Kuten Portugalin hallitus kuitenkin perustellusti väitti, juuri intressivertailun vaiheessa olisi otettava erityisesti huomioon rekisteröidyn ikä.

83.

Ennakkoratkaisua pyytänyt tuomioistuin tiedusteleekin, kuinka suuri merkitys on sillä, että taksin matkustaja oli onnettomuuden tapahtuma-aikaan alaikäinen. Käsiteltävän asian erityiset olosuhteet huomioon ottaen se ei mielestäni ole merkityksellinen seikka.

84.

Rekisteröidyn alaikäisyys on yleensä seikka, joka olisi otettava huomioon intressivertailun yhteydessä. Alaikäisten lasten erityisellä kohtelulla ja tehostetulla suojelulla olisi kuitenkin oltava havaittava yhteys kyseessä olevaan tietojen käsittelyyn. Jos ei ole tarkkaan osoitettu, miten tietojen luovuttaminen tässä konkreettisessa tapauksessa vaarantaisi esimerkiksi lapsen fyysisen tai henkisen kehityksen, mielestäni ei ole syytä vapauttaa alaikäistä hänen aiheuttamaansa vahinkoa koskevasta siviilioikeudellisesta vastuusta.

85.

Jos intressivertailussa todetaan, että rekisteröidyn intressi ei syrjäytä henkilötietojen luovuttamista pyytävän henkilön intressiä, on vielä selvitettävä, ovatko luovutettavat tiedot tarpeellisia ja kuinka kattavia ne voivat olla.

86.

Ennakkoratkaisua pyytäneen tuomioistuimen on jälleen määriteltävä se kansallisen lainsäädännön oikeudellinen perusta, joka sallii tietojen luovuttamisen. Kun oikeudellinen perusta on määritelty, direktiivin 7 artiklan f alakohdassa vahvistettu tarpeellisuuden kriteeri ei mielestäni missään tapauksessa estä sitä, että luovutetaan kaikki tiedot, joita tarvitaan siviilioikeudellisen menettelyn vireille panemiseksi Latvian lainsäädännön mukaisesti.

87.

Latvian hallitus väitti, että vakiintuneen oikeuskäytännön mukaan yksityisyyden suojaa koskevan perusoikeuden suojaaminen edellyttää, että henkilötietojen suojaan ja sen rajoituksiin tehtävät poikkeukset on rajattava täysin välttämättömään. Vaikka Latvian hallitus totesi, että vaihtoehtoisia keinoja oli tarjolla lisätietojen saamiseksi, se myönsi, etteivät etu- ja sukunimi todennäköisesti riitä oikeudellisen vaatimuksen esittämiseen ja antoi arvioinnin kansallisen tuomioistuimen tehtäväksi.

88.

On huomattava, että direktiivin 8 artiklan 7 kohdassa jäsenvaltioille annetaan harkintavaltaa päättää, luovuttavatko ne henkilönumeroita. Jäsenvaltiot eivät siten ole velvollisia käsittelemään henkilönumeroita, ellei se ole täysin välttämätöntä siviilioikeudellisen kanteen nostamiseksi.

89.

Tietojen tarkasta luonteesta riippumatta merkitystä on sillä, että henkilön hallussa ovat kaikki oikeudellisen vaatimuksen esittämisen kannalta välttämättömät tiedot. Jos siis osoite riittää kansallisen lainsäädännön mukaan, muita tietoja ei pitäisi luovuttaa.

90.

Kansallisen tuomioistuimen asiana on määrittää, minkä verran henkilötietoja Rīgas satiksme tarvitsee kanteen nostamiseen ( 29 ) Latvian lainsäädännön mukaisesti. Kuten jo totesin tämän ratkaisuehdotuksen 74 ja 75 kohdassa, haluan ainoastaan korostaa, että 7 artiklan f alakohdan soveltamisen kannalta merkitystä ei ole sillä, voidaanko tarpeelliset henkilötiedot saada jollakin muulla tavalla. Rīgas satiksmen pitäisi saada kaikki tarpeelliset tiedot siltä rekisterinpitäjältä, jolta se niitä pyysi.

91.

Käsiteltävä asia on varsin erikoinen. Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee lähinnä, voidaanko poikkeus, jossa sallitaan henkilötietojen käsittely, tulkita rekisterinpitäjälle kuuluvaksi velvollisuudeksi luovuttaa liikenneonnettomuuden aiheuttaneen henkilön henkilötiedot. Vaikuttaa siltä, että tämän kysymyksen taustalla oleva varsinainen syy on, että näiden tietojen saaminen on kansallisella tasolla tehty vaikeaksi tai jopa estetty kokonaan tietosuojan nimissä.

92.

Asiasta tietämätön sivullinen voisi kyseisen tapahtumaketjun perusteella esittää seuraavan viattoman kysymyksen: onko poliisi sellaisessa tilanteessa, jossa yksityishenkilö on pyytänyt saada sellaisen henkilön tiedot, joka on vahingoittanut hänen omaisuuttaan ja jolta hän aikoo vaatia vahingonkorvausta, todellakin velvollinen suorittamaan monitahoisia intressivertailuja ja oikeasuhteisuuden arviointeja, mistä seuraa pitkittynyt oikeudenkäynti, ja myös pyytämään lausuntoa kansalliselta tietosuojaviranomaiselta?

93.

Käsiteltävässä asiassa on jälleen kyse tapauksesta, ( 30 ) jossa tietosuojalainsäädäntö ulottuu melko yllättäviin tilanteisiin, joissa sitä sovelletaan. Asiasta tietämättömän sivullisen lisäksi se aiheuttaa yleisemminkin pohdintaa siitä, missä yhteydessä tietosuojasääntöjä on järkevää soveltaa ja toimivatko ne tarkoituksenmukaisesti. Esitän tästä muutamia loppuhuomautuksia.

94.

On selvää, että henkilötietojen suojelu on ensisijaisen tärkeää tällä digitaalisella aikakaudella. Unionin tuomioistuin on perustellusti ollut edelläkävijä tämän alan oikeuskäytännön kehittämisessä. ( 31 )

95.

Mainituissa tuomioissa on kuitenkin tosiasiassa kyse tärkeästä kysymyksestä, jonka vuoksi henkilötietojen suojelusta on alun perin säädetty ja jolta henkilöitä on tiukasti suojattava: henkilötietojen laajamittainen käsittely mekaanisin ja digitaalisin keinoin kaikissa muodoissaan, kuten laajojen tietoaineistojen koostaminen, hallinnointi ja käyttö, tietoaineistojen toimittaminen edelleen laittomiin tarkoituksiin sekä metatiedon kerääminen ja koostaminen.

96.

Kuten millä tahansa muulla oikeuden alalla, tiettyä toimintaa sääntelevien sääntöjen on oltava riittävän joustavia, jotta niitä voidaan soveltaa kaikkiin mahdollisiin tilanteisiin. Tässä voi kuitenkin olla vaarana, että sääntöjen tulkinnassa ja soveltamisessa mennään liian pitkälle. Sääntöjä saatetaan soveltaa lopulta myös tilanteissa, joissa yhteys alkuperäiseen tarkoitukseen on hatara tai kyseenalainen. Liian pitkälle menevä ja tietyllä tavalla absoluuttinen soveltaminen voi viedä pohjan myös alkuperäiseltä tarkoitukselta, joka oli itsessään erittäin tärkeä ja legitiimi.

97.

Yleisemmin tuomiossa Promusicae korostettiin tarvetta tulkita henkilötietojen käsittelyyn liittyviä direktiivejä siten, että varmistetaan unionin oikeusjärjestyksessä suojattujen eri perusoikeuksien välinen asianmukainen tasapaino. ( 32 )

98.

Tämän lisäksi intressivertailussa voitaisiin ehkä noudattaa tiettyä rule of reason ‑periaatetta. Sen mukaan lainsäädännön alkuperäinen ja ensisijainen (ei kuitenkaan ainutlaatuinen, ainoastaan ensisijainen) tarkoitus on aina muistettava: mekaanisin ja automaattisin keinoin toteutetun laajamittaisen tiedonkeruun sääntely sekä näin saatujen tietojen käyttö ja välittäminen edelleen. Huomattavasti kevyempää lähestymistapaa on mielestäni sen sijaan noudatettava tilanteissa, joissa henkilö pyytää yksittäistä tietoa, joka koskee tiettyä häneen konkreettisessa yhteydessä olevaa henkilöä, ja joissa on olemassa lainsäädännön tavanomaisesta toiminnasta johtuva selkeä ja täysin laillinen tarkoitus.

99.

Lyhyesti sanottuna lainsäädäntö ei perustu maalaisjärkeen, mutta sen tulkinnassa on käytettävä maalaisjärkeä. Olisi erittäin valitettavaa, jos henkilötietojen suojelun käsite taantuisi siihen, että henkilötietojen käsittelyn kieltäminen estäisi aiheellisetkin toimet.

100.

Edellä esitetyn perusteella ehdotan, että unionin tuomioistuin vastaa Augstākā tiesas Administratīvo lietu departamentsin esittämiin ennakkoratkaisukysymyksiin seuraavasti:

Yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY 7 artiklan f alakohtaa ei voida tulkita siten, että siinä rekisterinpitäjä velvoitetaan luovuttamaan sivulliselle tämän pyytämät henkilötiedot, jotka ovat tarpeen siviilioikeudellisen kanteen nostamiseksi.

Kyseinen direktiivin 7 artiklan f alakohta ei kuitenkaan myöskään estä tällaista luovuttamista edellyttäen, että kansallisessa lainsäädännössä säädetään henkilötietojen luovuttamisesta käsiteltävässä asiassa kyseessä olevan kaltaisessa tilanteessa. Merkitystä tässä yhteydessä ei ole sillä, että rekisteröity oli alaikäinen onnettomuuden tapahtuma-aikaan.