JULKISASIAMIEHEN RATKAISUEHDOTUS

TAMARA ĆAPETA

6 päivänä lokakuuta 2022 ( 1 )

Asia C-268/21

Norra Stockholm Bygg AB

vastaan

Per Nycander AB,

muu osapuoli:

Entral AB

(Ennakkoratkaisupyyntö – Högsta domstolen (korkein oikeus, Ruotsi))

Ennakkoratkaisupyyntö – Asetus (EU) 2016/679 – Henkilötietojen suoja – 6 artiklan 3 ja 4 kohta – Henkilötietojen käsittely – 23 artiklan 1 kohdan f alakohta – Oikeudellisen riippumattomuuden ja oikeudellisten menettelyjen suojelu – Yksityisoikeudellisen riita-asian vastapuolen vaatimus, että valittaja velvoitetaan esittämään tiedot työntekijöidensä työtunneista

 

1.

”Yksityisyytesi on meille tärkeää. Käytämme evästeitä käyttäjäkokemuksen parantamiseksi. Tarkastathan yksityisyysasetukset. Hyväksy kaikki / Asetukset. Tutustu yksityisyyttä koskeviin periaatteisiimme ja evästekäytäntöihimme.” ( 2 )

2.

Samankaltainen viesti ponnahtaa näkyville vierailtaessa millä tahansa verkkosivustolla.

3.

Tämä on seurausta yleisestä tietosuoja-asetuksesta, ( 3 ) josta on tullut henkilötietojen suojelun pääasiallinen väline Euroopan unionissa.

4.

Ponnahtaako yleinen tietosuoja-asetus esiin myös kansallisissa tuomioistuimissa? Tarkemmin sanoen sovelletaanko sitä tietojen luovuttamista koskeviin velvoitteisiin kansallisessa tuomioistuimessa vireillä olevassa siviiliprosessissa? Jos sovelletaan, mitä velvoitteita se asettaa näille tuomioistuimille? Näitä kysymyksiä unionin tuomioistuinta pyydetään selventämään tässä asiassa.

I Tosiseikat ja ennakkoratkaisukysymykset

5.

Nämä kysymykset tulivat esille ennakkoratkaisua pyytäneessä tuomioistuimessa, Högsta domstolenissa (korkein oikeus, Ruotsi), käsiteltävässä asiassa. Asian tosiseikat voidaan tiivistää seuraavasti. Norra Stockholm Bygg AB (jäljempänä Fastec), joka on valittajana pääasiassa, toteutti Per Nycander AB:lle (jäljempänä Nycander), joka on vastapuolena pääasiassa, rakennusurakan toimistorakennuksen rakentamiseksi. Rakennusurakan työntekijät kirjasivat läsnäolonsa sähköiseen henkilöstöpäiväkirjaan verotusta varten. Entral AB piti kyseistä henkilöstöpäiväkirjaa Fastecin toimeksiannosta.

6.

Pääasian oikeudenkäynnissä käsiteltävä riita-asia koskee suoritetusta rakennusurakasta maksettavaa korvausta. Nycander on kiistänyt Fastecin maksuvaatimuksen (hieman yli 2000000 Ruotsin kruunua (SEK), noin 190133 euroa) ja väittänyt, ettei Fastec ole käyttänyt rakennusurakkaan kaikkea sitä aikaa, josta se vaatii maksua.

7.

Voidakseen osoittaa tämän Nycander vaati, että Entral esittää Fastecin toimeksiannosta pitämänsä henkilöstöpäiväkirjan. Fastec vastustaa tätä vaatimusta ja väittää, että tällainen tietojen luovuttaminen olisi yleisen tietosuoja-asetuksen vastaista, koska pyydetyt tiedot kerättiin toiseen tarkoitukseen eikä niitä voida käyttää todisteina pääasian oikeudenkäynnissä.

8.

Tingsrätt (käräjäoikeus, Ruotsi) määräsi Entralin esittämään henkilöstöpäiväkirjan, ja Svea hovrätt (Svean hovioikeus, Tukholma, Ruotsi) pysytti tämän ratkaisun muutoksenhakumenettelyssä.

9.

Fastec valitti Svea hovrättin ratkaisusta Högsta domstoleniin ja vaati, että kyseinen tuomioistuin hylkää Nycanderin vaatimuksen tietojen luovuttamisesta tai toissijaisesti määrää, että henkilöstöpäiväkirjasta esitetään anonymisoitu versio. Tämän menettelyn yhteydessä Högsta domstolen esitti unionin tuomioistuimelle ennakkoratkaisupyynnön, joka sisältää seuraavat kysymykset:

”1)

Asetetaanko yleisen tietosuoja-asetuksen 6 artiklan 3 ja 4 kohdassa vaatimuksia myös editiovelvollisuutta koskevan kansallisen prosessilainsäädännön suhteen?

2)

Jos ensimmäiseen kysymykseen vastataan myöntävästi, seuraako yleisestä tietosuoja-asetuksesta, että huomioon on otettava myös rekisteröityjen intressit arvioitaessa sitä, onko henkilötietoja sisältävä asiakirja määrättävä esitettäväksi? Asetetaanko unionin oikeudessa tässä tapauksessa vaatimuksia sille, kuinka tämä arviointi on tarkkaan ottaen tehtävä?”

10.

Kirjallisia huomautuksia unionin tuomioistuimen menettelyssä esittivät Fastec, Tšekin, Puolan ja Ruotsin hallitukset sekä Euroopan komissio. Nycanderin, Puolan ja Ruotsin hallitusten sekä komission puolesta esitettiin suullisia huomautuksia27.6.2022 pidetyssä istunnossa.

II Asiaa koskevat oikeussäännöt

A   Unionin oikeus

11.

Yleisen tietosuoja-asetuksen 5 artiklassa määritetään periaatteet, joita henkilötietojen käsittelyssä on noudatettava:

”1.   Henkilötietojen suhteen on noudatettava seuraavia vaatimuksia:

a)

niitä on käsiteltävä lainmukaisesti, asianmukaisesti ja rekisteröidyn kannalta läpinäkyvästi (’lainmukaisuus, kohtuullisuus ja läpinäkyvyys’);

b)

ne on kerättävä tiettyä, nimenomaista ja laillista tarkoitusta varten, eikä niitä saa käsitellä myöhemmin näiden tarkoitusten kanssa yhteensopimattomalla tavalla; myöhempää käsittelyä yleisen edun mukaisia arkistointitarkoituksia taikka tieteellisiä tai historiallisia tutkimustarkoituksia tai tilastollisia tarkoituksia varten ei katsota 89 artiklan 1 kohdan mukaisesti yhteensopimattomaksi alkuperäisten tarkoitusten kanssa (’käyttötarkoitussidonnaisuus’);

c)

niiden on oltava asianmukaisia ja olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään (’tietojen minimointi’);

d)

niiden on oltava täsmällisiä ja tarvittaessa päivitettyjä; on toteutettava kaikki mahdolliset kohtuulliset toimenpiteet sen varmistamiseksi, että käsittelyn tarkoituksiin nähden virheelliset henkilötiedot poistetaan tai oikaistaan viipymättä (’täsmällisyys’);

e)

ne on säilytettävä muodossa, josta rekisteröity on tunnistettavissa ainoastaan niin kauan kuin on tarpeen tietojenkäsittelyn tarkoitusten toteuttamista varten; henkilötietoja voidaan säilyttää pidempiä aikoja, jos henkilötietoja käsitellään ainoastaan yleisen edun mukaisia arkistointitarkoituksia taikka tieteellisiä tai historiallisia tutkimustarkoituksia tai tilastollisia tarkoituksia varten 89 artiklan 1 kohdan mukaisesti edellyttäen, että tässä asetuksessa vaaditut asianmukaiset tekniset ja organisatoriset toimenpiteet on pantu täytäntöön rekisteröidyn oikeuksien ja vapauksien turvaamiseksi (’säilytyksen rajoittaminen’);

f)

niitä on käsiteltävä tavalla, jolla varmistetaan henkilötietojen asianmukainen turvallisuus, mukaan lukien suojaaminen luvattomalta ja lainvastaiselta käsittelyltä sekä vahingossa tapahtuvalta häviämiseltä, tuhoutumiselta tai vahingoittumiselta käyttäen asianmukaisia teknisiä tai organisatorisia toimia (’eheys ja luottamuksellisuus’).

2.   Rekisterinpitäjä vastaa siitä, ja sen on pystyttävä osoittamaan se, että 1 kohtaa on noudatettu (’osoitusvelvollisuus’).”

12.

Yleisen tietosuoja-asetuksen 6 artiklan, jonka otsikko on ”Käsittelyn lainmukaisuus”, 1, 3 ja 4 kohdassa säädetään seuraavaa:

”1.   Käsittely on lainmukaista ainoastaan jos ja vain siltä osin kuin vähintään yksi seuraavista edellytyksistä täyttyy:

– –

c)

käsittely on tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi;

– –

e)

käsittely on tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi;

– –

3.   Edellä olevan 1 kohdan c ja e alakohdassa tarkoitetun käsittelyn perustasta on säädettävä joko

a)

unionin oikeudessa; tai

b)

rekisterinpitäjään sovellettavassa jäsenvaltion lainsäädännössä.

Käsittelyn tarkoitus määritellään kyseisessä käsittelyn oikeusperusteessa tai, 1 kohdan e alakohdassa tarkoitetussa käsittelyssä, sen on oltava tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi. Kyseinen käsittelyn oikeusperuste voi sisältää erityisiä säännöksiä, joilla mukautetaan tämän asetuksen sääntöjen soveltamista, muun muassa: yleisiä edellytyksiä, jotka koskevat rekisterinpitäjän suorittaman tietojenkäsittelyn lainmukaisuutta; käsiteltävien tietojen tyyppiä; asianomaisia rekisteröityjä, yhteisöjä joille ja tarkoituksia joihin henkilötietoja voidaan luovuttaa; käyttötarkoitussidonnaisuutta; säilytysaikoja; sekä käsittelytoimia ja ‑menettelyjä, mukaan lukien laillisen ja asianmukaisen tietojenkäsittelyn varmistamiseen tarkoitetut toimenpiteet, kuten toimenpiteet muita IX luvussa esitettyjä erityisiä tietojenkäsittelytilanteita varten. Unionin oikeuden tai jäsenvaltion lainsäädännön on täytettävä yleisen edun mukainen tavoite ja oltava oikeasuhteinen sillä tavoiteltuun oikeutettuun päämäärään nähden.

4.   Jos käsittely tapahtuu muuta kuin sitä tarkoitusta varten, jonka vuoksi tiedot on kerätty, eikä käsittely perustu rekisteröidyn suostumukseen eikä unionin oikeuteen tai jäsenvaltion lainsäädäntöön, joka muodostaa demokraattisessa yhteiskunnassa välttämättömän ja oikeasuhteisen toimenpiteen 23 artiklan 1 kohdassa tarkoitettujen tavoitteiden turvaamiseksi, rekisterinpitäjän on otettava huomioon muun muassa seuraavat asiat varmistaakseen, että muuhun tarkoitukseen tapahtuva käsittely on yhteensopivaa sen tarkoituksen kanssa, jota varten tiedot alun perin kerättiin:

a)

henkilötietojen keruun tarkoitusten ja aiotun myöhemmän käsittelyn tarkoitusten väliset yhteydet;

b)

henkilötietojen keruun asiayhteys erityisesti rekisteröityjen ja rekisterinpitäjän välisen suhteen osalta;

c)

henkilötietojen luonne, erityisesti se, käsitelläänkö erityisiä henkilötietojen ryhmiä 9 artiklan mukaisesti tai rikostuomioihin ja rikkomuksiin liittyviä henkilötietoja 10 artiklan mukaisesti;

d)

aiotun myöhemmän käsittelyn mahdolliset seuraukset rekisteröidyille;

e)

asianmukaisten suojatoimien, kuten salaamisen tai pseudonymisoinnin, olemassaolo.”

13.

Lisäksi yleisen tietosuoja-asetuksen 23 artiklan 1 kohdassa säädetään rajoituksista yleisen tietosuoja-asetuksen mukaisiin oikeuksiin ja velvoitteisiin:

”1.   Rekisterinpitäjään tai henkilötietojen käsittelijään sovellettavassa unionin oikeudessa tai jäsenvaltion lainsäädännössä voidaan lainsäädäntötoimenpiteellä rajoittaa niiden velvollisuuksien ja oikeuksien soveltamisalaa, joista säädetään 12–22 artiklassa ja 34 artiklassa sekä 5 artiklassa, siltä osin kuin sen säännökset vastaavat 12–22 artiklassa säädettyjä oikeuksia ja velvollisuuksia, jos kyseisessä rajoituksessa noudatetaan keskeisiltä osin perusoikeuksia ja ‑vapauksia ja se on demokraattisessa yhteiskunnassa välttämätön ja oikeasuhteinen toimenpide, jotta voidaan taata

– –

f)

oikeudellisen riippumattomuuden ja oikeudellisten menettelyjen suojelu;

– –”

B   Ruotsin oikeus

14.

Oikeudenkäymiskaaren (rättegångsbalken, jäljempänä RB) 38 luvun 2 §:n ensimmäisessä momentissa säädetään, että jokaisella, jolla on hallussaan asiakirja, jolla voidaan olettaa olevan merkitystä näyttönä, on velvollisuus esittää kyseinen asiakirja. Saman pykälän toisessa momentissa säädetään poikkeuksista tällaiseen velvollisuuteen, muun muassa poikkeuksesta, joka koskee asianajajia, lääkäreitä, psykologeja, pappeja ja muita viran- tai toimenhaltijoita, jotka ovat saaneet tietoja ammattia harjoittaessaan tai muussa vastaavassa tilanteessa. RB:n 38 luvun 4 §:ssä annetaan tuomioistuimelle toimivalta määrätä asianomainen esittämään asiakirja todisteena.

15.

Ennakkoratkaisua pyytäneen tuomioistuimen mukaan arvioitaessa sitä, olisiko henkilö velvoitettava esittämään asiakirja, tuomioistuimen on punnittava keskenään näytön merkityksellisyyttä ja vastapuolen intressiä olla luovuttamatta tietoja. Kuten ennakkoratkaisua pyytänyt tuomioistuin selittää, tässä arvioinnissa ei oteta huomioon sitä, ovatko luovutettavat tiedot luonteeltaan yksityisiä.

III Asian tarkastelu

A   Tien valmistelu

16.

Yleinen tietosuoja-asetus on unionin tärkein säädös, jossa säädetään luonnollisten henkilöiden suojelusta heidän henkilötietojensa käsittelyssä. Edeltäjästään, direktiivistä 95/46/EY, ( 4 ) poiketen yleinen tietosuoja-asetus annettiin SEUT 16 artiklan perusteella. ( 5 ) Kyseinen oikeusperusta antoi unionin lainsäätäjälle valtuudet turvata henkilötietojen suojaa koskeva perusoikeus, josta määrätään Euroopan unionin perusoikeuskirjan (jäljempänä perusoikeuskirja) 8 artiklan 1 kohdassa. ( 6 )

17.

Kun henkilötietoja käsitellään, yleisessä tietosuoja-asetuksessa asetetaan velvoite noudattaa kyseistä säädöstä ”rekisterinpitäjälle”. ( 7 ) Kaikessa henkilötietojen käsittelyssä on siten tärkeää määrittää, kuka rekisterinpitäjä on.

18.

Yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdan mukaan rekisterinpitäjä on luonnollinen henkilö tai oikeushenkilö, viranomainen, virasto tai muu elin, joka määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot.

19.

Nyt tarkasteltavassa tapauksessa on kyse kahdesta erillisestä tapauksesta, joissa käsiteltiin henkilötietoja. Ensimmäinen käsittely koskee sähköistä henkilöstöpäiväkirjaa, jota Entral piti Fastecin puolesta, joka oli Ruotsin lain nojalla velvollinen keräämään verotustarkoituksiin tietoja työtunneista. Tässä yhteydessä Fastec on rekisterinpitäjä ja Entral henkilötietojen käsittelijä. ( 8 )

20.

Käsiteltävässä asiassa on riidatonta, että tämä ensimmäinen käsittely oli yleisen tietosuoja-asetuksen mukaista. On erityisesti todettava, että sen 6 artiklan 1 kohdan c alakohdassa sallitaan henkilötietojen käsittely, joka on tarpeen rekisterinpitäjän, tässä tapauksessa Fastecin, lakisääteisen velvoitteen noudattamiseksi. ( 9 ) Jos tämä ensimmäinen käsittely todettaisiin yleisen tietosuoja-asetuksen perusteella lainvastaiseksi, tällaisten tietojen käsittely muihin tarkoituksiin olisi siten myös lainvastaista. ( 10 )

21.

Kiinnostavaa käsiteltävässä asiassa on kuitenkin samojen tietojen, jotka kerättiin alun perin verotustarkoituksiin, jälkimmäinen käsittely (muihin tarkoituksiin). Tämän uuden tarkoituksen muodostaa se, että Entral luovuttaa henkilöstöpäiväkirjan todisteeksi Fastecin ja Nycanderin välisessä siviiliprosessissa. Kyseisen päiväkirjan esittäminen, jotta sitä voidaan käyttää siviiliprosessissa, tarkoittaisi väistämättä henkilötietojen käsittelyä.

22.

Tässä jälkimmäisessä käsittelyssä yleisen tietosuoja-asetuksen mukaiset roolit muuttuvat ensimmäisestä käsittelystä. Mikä tärkeintä, määrätessään Entralin esittämään henkilöstöpäiväkirjan (jäljempänä luovuttamismääräys) kansallinen tuomioistuin on taho, joka määrittelee jälkimmäisen tietojenkäsittelyn tarkoitukset ja keinot. ( 11 ) Kyseisestä tuomioistuimesta tulee näin rekisterinpitäjä. ( 12 )

23.

Tässä jälkimmäisessä käsittelyssä Fastecin voitaisiin katsoa toimivan edelleen rekisterinpitäjänä tai sen roolin muuttuneen; se on nyt tietojen vastaanottaja yhdessä Nycanderin kanssa. ( 13 ) Vaikka Fastec toimisikin edelleen rekisterinpitäjänä yhdessä kansallisen tuomioistuimen kanssa, ( 14 ) tämä ei vaikuttaisi kansallisen tuomioistuimen velvollisuuksiin rekisterinpitäjänä. ( 15 ) Entralin rooli ei muutu. Se on edelleen henkilötietojen käsittelijä ja käsittelee edelleen samoja henkilötietoja, mutta nyt uuden rekisterinpitäjän eli kansallisen tuomioistuimen puolesta.

24.

Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee ensimmäisellä kysymyksellään lähinnä, voiko kansallisesta tuomioistuimesta todellakin tulla yleisen tietosuoja-asetuksen mukainen rekisterinpitäjä ja asetetaanko kyseisessä asetuksessa siinä tapauksessa kansalliselle prosessioikeudelle vaatimuksia, jotka liittyvät tuomioistuinten valtuuksiin ja velvoitteisiin siviiliprosessissa. Jos yleistä tietosuoja-asetusta sovelletaan ja kansallinen tuomioistuin on rekisterinpitäjä, ennakkoratkaisua pyytänyt tuomioistuin tiedustelee toisessa kysymyksessään, miten tällaisen tuomioistuimen olisi päätettävä henkilötietojen luovuttamisesta, kun niitä on tarkoitus käyttää todisteena siviiliprosessissa.

25.

Vastatakseni ennakkoratkaisua pyytäneen tuomioistuimen kysymyksiin etenen seuraavasti. Ensin selitän, miksi yleistä tietosuoja-asetusta voidaan nähdäkseni soveltaa jäsenvaltioiden tuomioistuimissa vireillä oleviin siviiliprosesseihin ja miten tämä vaikuttaa jäsenvaltioiden nykyiseen prosessioikeuteen (B). Sen jälkeen käsittelen menetelmiä, joita kansallisten tuomioistuinten rekisterinpitäjinä olisi sovellettava yleisen tietosuoja-asetuksen vaatimusten täyttämiseksi (C).

B   Yleistä tietosuoja-asetusta voidaan soveltaa kansallisissa tuomioistuimissa vireillä oleviin siviiliprosesseihin ja se täydentää jäsenvaltioiden menettelysääntöjä

26.

Ennakkoratkaisua pyytäneen tuomioistuimen ensimmäisessä kysymyksessä tiedustellaan lähinnä, sovelletaanko yleistä tietosuoja-asetusta siviiliprosessiin ja miten se vaikuttaa relevantteihin menettelysääntöihin. Tarkemmin sanoen siinä kysytään, vaikuttaako yleinen tietosuoja-asetus näihin kansallisiin sääntöihin, jotka koskevat tuomioistuinten valtuuksia ja velvoitteita määrättäessä asiakirjatodisteiden luovuttamisesta. Vastaan tähän kysymykseen kolmessa vaiheessa.

1. Kansallisten tuomioistuinten toiminta siviiliprosessissa ei jää yleisen tietosuoja-asetuksen soveltamisalan ulkopuolelle

27.

Yleisen tietosuoja-asetuksen aineellinen soveltamisala määritellään sen 2 artiklan 1 kohdassa, jossa omaksutaan institutionaalisen lähestymistavan sijasta toiminnallinen lähestymistapa. Yleisen tietosuoja-asetuksen soveltamisen laukaisee ”mikä” (henkilötietojen käsittelyn muodostama toiminta) pikemminkin kuin ”kuka”. ( 16 )

28.

Yleisen tietosuoja-asetuksen soveltamisalan ulkopuolelle jäävät tilanteet, jotka luetellaan sen 2 artiklan 2 kohdassa, ovat myös luonteeltaan toiminnallisia. Koska ne muodostavat poikkeuksen yleisen tietosuoja-asetuksen soveltamisesta, niitä on unionin tuomioistuimen mukaan tulkittava suppeasti. ( 17 )

29.

Viranomaisten toimet eivät siten jää yleisen tietosuoja-asetuksen soveltamisalan ulkopuolelle sinänsä, vaan ne jäävät sen ulkopuolelle pikemminkin yksinomaan yleisen tietosuoja-asetuksen 2 artiklan 2 kohdassa lueteltujen toimintojen osalta. ( 18 ) Tältä osin kyseisessä säännöksessä ei jätetä yleisen tietosuoja-asetuksen aineellisen soveltamisalan ulkopuolelle tuomioistuinten toimia siviiliprosessissa.

30.

Päätelmää, jonka mukaan yleistä tietosuoja-asetusta sovelletaan tuomioistuinten toimintaan, tukee kyseisen asetuksen johdanto-osan 20 perustelukappale, ( 19 ) jonka mukaan kyseistä asetusta sovelletaan tuomioistuinten ja muiden oikeusviranomaisten toimintaan. ( 20 )

31.

Se, että yleisen tietosuoja-asetuksen 55 artiklan 3 kohdan mukaan valvontaviranomaisilla ei ole toimivaltaa valvoa käsittelytoimia, joita tuomioistuimet suorittavat lainkäyttötehtäviensä yhteydessä, ei vaikuta edellä esitettyyn päätelmään. Kyseinen säännös päinvastoin vahvistaa mielestäni, että tuomioistuimiin niiden toimiessa lainkäyttötehtävissään sovelletaan yleisessä tietosuoja-asetuksessa asetettuja velvoitteita. Sillä turvataan niiden riippumattomuus ja puolueettomuus estämällä valvontaviranomaisia valvomasta niiden käsittelytoimia.

32.

Käsiteltävässä asiassa on kyse henkilötietojen käsittelystä, joka kuuluu yleisen tietosuoja-asetuksen aineelliseen soveltamisalaan. Sähköisen henkilöstöpäiväkirjan luominen ja ylläpito koskevat henkilötietojen käsittelyä. ( 21 ) Samoin määräyksessä, jonka mukaan tällaiset henkilötiedot on luovutettava siviiliprosessin yhteydessä, on kyse näiden tietojen käsittelystä. ( 22 ) Pääasian oikeudenkäynnissä kyseessä oleva tilanne kuuluu siten yleisen tietosuoja-asetuksen aineelliseen soveltamisalaan.

33.

Mitä tämä tarkoittaa RB:n kaltaisten kansallisten menettelysääntöjen toiminnan kannalta?

2. Kansallinen lainsäädäntö on kansallisten tuomioistuinten tekemän tietojenkäsittelyn lainmukaisuuden edellytys

34.

Käsiteltävässä asiassa kyseessä olevan luovuttamismääräyksen antamisen oikeusperusta on RB.

35.

Yleisessä tietosuoja-asetuksessa nimittäin edellytetään, että pääasiassa kyseessä olevan kaltaisessa tilanteessa tietojenkäsittelyn oikeusperustana on jäsenvaltion (tai unionin) lainsäädäntö. ( 23 )

36.

Käsiteltävässä asiassa kyseessä olevia tietoja, jotka on alun perin kerätty ja joita on käsitelty verotustarkoituksiin ja joista on annettu luovuttamismääräys, on nyt tarkoitus käsitellä todistelutarkoituksiin oikeudenkäynnin yhteydessä.

37.

Yleisen tietosuoja-asetuksen 6 artiklan 4 kohdassa sallitaan muuhun tarkoitukseen tapahtuva käsittely, jos se perustuu jäsenvaltion lainsäädäntöön, joka muodostaa demokraattisessa yhteiskunnassa välttämättömän ja oikeasuhteisen toimenpiteen yleisen tietosuoja-asetuksen 23 artiklan 1 kohdassa tarkoitettujen tavoitteiden turvaamiseksi. Näihin tavoitteisiin kuuluu 23 artiklan 1 kohdan f alakohdan mukaan ”oikeudellisen riippumattomuuden ja oikeudellisten menettelyjen suojelu”.

38.

Kaikki tämän ennakkoratkaisumenettelyn osapuolet ovat yhtä mieltä siitä, että yleisen tietosuoja-asetuksen 23 artiklan 1 kohdan f alakohta on asianmukainen säännös, johon voidaan vedota sen oikeuttamiseksi, että tietojenkäsittelyn kohteena olevia tietoja käsitellään RB:n perusteella muuhun tarkoitukseen. ( 24 )

39.

RB:ssä annetaan kansallisille tuomioistuimille toimivalta määrätä asiakirjojen luovuttamisesta, jos niillä on todistusarvoa siviiliprosessissa. Kuten edellä selitettiin, jos luovutettava asiakirja sisältää henkilötietoja, tällaisesta luovuttamisesta määräävästä tuomioistuimesta tulee yleisen tietosuoja-asetuksen mukainen rekisterinpitäjä.

40.

Kuten komissio istunnossa huomautti, kansallinen tuomioistuin on ainoastaan tietyssä määrin tavanomainen rekisterinpitäjä. Kansalliset tuomioistuimet voivat nimittäin käsitellä tietoja ainoastaan niille kuuluvan julkisen vallan käyttämiseksi.

41.

Kun tietojenkäsittely tapahtuu julkisen vallan käyttämiseksi, ( 25 ) yleisen tietosuoja-asetuksen 6 artiklan 3 kohdan mukaan sen on perustuttava unionin oikeuteen tai jäsenvaltion lainsäädäntöön.

42.

Näin ollen sekä yleisen tietosuoja-asetuksen 6 artiklan 4 kohdassa (joka mahdollistaa tietojen käsittelyn muuhun tarkoitukseen) että 3 kohdassa (joka mahdollistaa tietojen käsittelyn julkisen vallan käyttämiseksi) edellytetään, että tietojen käsittely perustuu kansalliseen lainsäädäntöön (tai unionin oikeuteen). ( 26 )

43.

Se, että RB:ssä annetaan tuomioistuimelle toimivalta antaa luovuttamismääräys, on siten välttämätön edellytys kyseessä olevan käsittelyn lainmukaisuudelle.

3. Yleinen tietosuoja-asetus täydentää kansallisia menettelysääntöjä

44.

Jos yleisessä tietosuoja-asetuksessa edellytettävä oikeusperusta on olemassa ja määräys, johon liittyy henkilötietojen käsittelyä, annetaan tällaisen jäsenvaltion lainsäädännön mukaisesti, täyttyvätkö yleisessä tietosuoja-asetuksessa lainmukaiselle käsittelylle asetetut vaatimukset?

45.

Vaikka jäsenvaltion lainsäädäntöön perustuvan oikeusperustan olemassaolo onkin välttämätön, se ei mielestäni riitä tekemään luovuttamismääräyksestä yleisen tietosuoja-asetuksen mukaista.

46.

Ennakkoratkaisua pyytänyt tuomioistuin selitti, että RB:n nojalla ei lähtökohtaisesti oteta huomioon tietojen yksityistä luonnetta tehtäessä päätöksiä niiden luovuttamisesta todisteeksi. Tuomioistuinten on otettava huomioon vastakkaisten asianosaisten edut, mutta laissa itsessään ei mainita, että rekisteröityjen eduilla olisi mitään merkitystä.

47.

Onko RB ristiriidassa yleisen tietosuoja-asetuksen kanssa, kun siinä ei nimenomaisesti velvoiteta tuomioistuimia, kun niistä tulee rekisterinpitäjiä, ottamaan rekisteröityjen edut huomioon tehdessään päätöksiä, jotka voivat vaikuttaa heidän henkilötietoihinsa?

48.

Mielestäni näin ei ole. On otettava huomioon, että eri kansallisia säädöksiä, jotka muodostavat oikeusperustan tietojenkäsittelylle, ei annettu nimenomaisesti yleisen tietosuoja-asetuksen täytäntöönpanemiseksi, vaan niillä on omat tarkoituksensa. Lisäksi yleistä tietosuoja-asetusta sovelletaan suoraan jäsenvaltioiden oikeusjärjestyksissä, eikä se edellytä täytäntöönpanotoimia. Näin ollen tärkeää on se, että kun kansalliset menettelysäännöt ja yleinen tietosuoja-asetus kohtaavat, ensiksi mainitut mahdollistavat viimeksi mainitun samanaikaisen soveltamisen.

49.

Ruotsin hallitus vahvisti istunnossa, ettei RB:ssä edellytetä tuomioistuinten ottavan rekisteröityjen etuja huomioon, muttei myöskään kielletä sitä. RB ei näin ollen ole esteenä yleisen tietosuoja-asetuksen suoralle soveltamiselle oikeudenkäyntiin, johon kyseistä oikeudenkäymiskaarta sovelletaan.

50.

Kansallisten tuomioistuinten on siten sovellettava samanaikaisesti kansallisia menettelysääntöjä ja yleistä tietosuoja-asetusta, joka täydentää kansallisia sääntöjä, jos tuomioistuinten oikeudenkäynnin yhteydessä toteuttamiin toimiin liittyy henkilötietojen käsittelyä.

51.

Kansallisessa lainsäädännössä ei näin ollen tarvitse viitata nimenomaisesti yleiseen tietosuoja-asetukseen tai velvoittaa tuomioistuimia ottamaan rekisteröityjen edut huomioon. Riittää, että tällainen lainsäädäntö mahdollistaa yleisen tietosuoja-asetuksen täydentävän soveltamisen. Vain siinä tapauksessa, ettei näin ole, kansallinen säädös olisi yleisen tietosuoja-asetuksen vastainen. RB kuitenkin näyttää sallivan yleisen tietosuoja-asetuksen täydentävän soveltamisen. ( 27 )

52.

Ennakkoratkaisua pyytäneen tuomioistuimen ensimmäiseen kysymykseen on näin ollen vastattava, että yleisen tietosuoja-asetuksen 6 artiklan 3 ja 4 kohdassa asetetaan kansalliselle prosessioikeudelle vaatimuksia, jotka liittyvät luovuttamista koskeviin velvoitteisiin, aina kun luovuttamiseen liittyy henkilötietojen käsittelyä. Kansallinen prosessioikeus ei tällaisessa tapauksessa saa estää sitä, että rekisteröityjen edut otetaan huomioon. Nämä edut turvataan, jos kansalliset tuomioistuimet noudattavat yleisen tietosuoja-asetuksen sääntöjä päättäessään asiakirjatodisteiden luovuttamisesta yksittäistapauksessa.

C   Rekisteröityjen etuja koskevat kansallisen tuomioistuimen velvoitteet

53.

Kansallisiin tuomioistuimiin sovelletaan yleistä tietosuoja-asetusta, joten rekisterinpitäjinä niiden on otettava huomioon rekisteröityjen edut. Miten nämä edut olisi otettava huomioon tehtäessä konkreettista päätöstä luovuttamisesta? Tämä muodostaa ennakkoratkaisua pyytäneen tuomioistuimen toisen kysymyksen ytimen.

1. Oikeasuhteisuus

54.

Rekisteröityjen etuja suojataan, kun heidän henkilötietojensa käsittely on yleisen tietosuoja-asetuksen 5 ja 6 artiklan mukaista. ( 28 ) Julkisasiamies Pikamäen sanoja lainatakseni, yleisen tietosuoja-asetuksen 5 ja 6 artiklan noudattaminen turvaa yksityis- ja perhe-elämän kunnioittamista ja henkilötietojen suojaa koskevien oikeuksien, sellaisina kuin ne taataan perusoikeuskirjan 7 ja 8 artiklassa, suojelun. ( 29 )

55.

Käsittelyn oikeutetut päämäärät luetellaan yleisen tietosuoja-asetuksen 6 artiklassa. ( 30 ) Kuten tämän ratkaisuehdotuksen edellisessä jaksossa selitettiin, nyt kyseessä olevalla käsittelyllä on lainmukainen tarkoitus, koska tuomioistuin käytti julkista valtaa määrätessään tietojen luovuttamisesta sellaisen kansallisen lainsäädännön perusteella, jolla pyritään varmistamaan oikeudenkäynnin asianmukainen kulku. Sekä yleisen tietosuoja-asetuksen 6 että 5 artiklassa kuitenkin edellytetään paitsi oikeutettua päämäärää myös sitä, että tietty käsittely on tarpeen tämän päämäärän saavuttamiseksi.

56.

Yleisessä tietosuoja-asetuksessa edellytetään siten, että tuomioistuin arvioi oikeasuhteisuutta määrittäessään, onko henkilötietojen luovuttaminen tietyssä tilanteessa tarpeen todistelutarkoituksiin oikeudenkäynnissä. ( 31 )

57.

Tältä osin yleisen tietosuoja-asetuksen 6 artiklan 4 kohdassa edellytetään, että kansallinen lainsäädäntö, johon muuhun tarkoitukseen tapahtuva käsittely perustuu, muodostaa välttämättömän ja oikeasuhteisen toimenpiteen jonkin yleisen tietosuoja-asetuksen 23 artiklan 1 kohdassa tarkoitetun tavoitteen, tässä tapauksessa oikeudellisen riippumattomuuden ja oikeudellisten menettelyjen suojelun, turvaamiseksi. Lisäksi yleisen tietosuoja-asetuksen 6 artiklan 3 kohdassa edellytetään, että julkisen vallan käyttämiseksi tapahtuvan käsittelyn on oltava tarpeen rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi.

58.

Kansallinen lainsäädäntö, johon käsittely perustuu, voi in abstracto olla yleisen tietosuoja-asetuksen 6 artiklan 3 ja 4 kohdan vaatimusten mukainen. Kunkin yksittäisen käsittelyn (myös tuomioistuimen antaman luovuttamismääräyksen) lainmukaisuus riippuu kuitenkin kaikkien asiaan kuuluvien etujen konkreettisesta punninnasta, ja tällöin on pidettävä mielessä oikeutettu päämäärä, jonka vuoksi luovuttamista on pyydetty. ( 32 ) Vain tällä tavalla kansallinen tuomioistuin voi päättää, onko luovuttaminen tarpeen ja jos, niin missä määrin.

59.

On siten selvää, että yleisessä tietosuoja-asetuksessa edellytetään oikeasuhteisuuden arviointia. Onko yleisestä tietosuoja-asetuksesta myös apua vastattaessa siihen, mitä konkreettisia toimia tuomioistuimen on toteutettava tällaisessa arvioinnissa?

2. Erityiset toimet, joita kansallisen tuomioistuimen on toteutettava

60.

Kuten selitettiin, oikeasuhteisuuden arviointi on tehtävä jokaisessa yksittäistapauksessa ottaen huomioon kaikki asiaan liittyvät edut. Nyt tarkasteltavan kaltaisissa tilanteissa luovuttamisen taustalla olevia etuja on punnittava sen kanssa, että luovuttamisella loukataan henkilötietojen suojaa koskevaa oikeutta. ( 33 )

61.

Luovuttamisen taustalla olevat edut kuvastavat oikeutta tehokkaisiin oikeussuojakeinoihin (perusoikeuskirjan 47 artikla). Rekisteröityjen edut, joiden kanssa edellä mainittu oikeus on ristiriidassa, kuvastavat oikeutta yksityis- ja perhe-elämän kunnioittamiseen (perusoikeuskirjan 7 artikla) ja oikeutta henkilötietojen suojaan (perusoikeuskirjan 8 artikla). Näitä oikeuksia on punnittava, jotta voidaan päättää, onko henkilötietojen luovuttaminen tarpeen.

62.

Esitän seuraavaksi tiettyjä ehdotuksia, jotka koskevat erityisiä toimia, joita kansallisen tuomioistuimen voidaan odottaa toteuttavan.

63.

Ensinnäkin voidaan aina olettaa, että rekisteröidyillä, jotka eivät ole antaneet suostumustaan käsittelyyn, on intressi henkilötietojensa käsittelyn rajoittamiseen. Tämä muodostaa siten oletusarvoisen lähtökohdan kansalliselle tuomioistuimelle: sen oikeuttaminen, miksi tähän intressiin olisi kajottava.

64.

Ohjeet tämän arvioinnin tekemiseen löytyvät nähdäkseni yleisen tietosuoja-asetuksen 5 artiklasta, johon sisältyvät periaatteet, joita rekisterinpitäjän on noudatettava henkilötietoja käsitellessään.

65.

Tältä osin kaikkein tärkein on yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohtaan sisältyvä tietojen minimoinnin periaate. Kyseinen vaatimus on, kuten unionin tuomioistuin on todennut, ( 34 ) ilmaus suhteellisuusperiaatteesta. Se edellyttää, että henkilötiedot ovat asianmukaisia ja olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään.

66.

Ensimmäinen kysymys koskee näin ollen sitä, ovatko Entralin pitämään henkilöstöpäiväkirjaan sisältyvät tiedot asianmukaisia. Ne ovat asianmukaisia siihen tarkoitukseen, johon ne on tarkoitus luovuttaa, jos niistä todellakin ilmenee Fastecin työntekijöiden rakennuksella tekemien työtuntien määrä.

67.

Toinen kysymys koskee sitä, ovatko Entralin pitämään henkilöstöpäiväkirjaan sisältyvät tiedot olennaisia siihen tarkoitukseen, johon niitä pyydetään. Tarkoituksena vaikuttaa olevan Nycanderin intressi näyttää toteen väitteensä, jonka mukaan Fastecin työntekijät työskentelivät rakennuksella laskuun merkittyä työtuntimäärää vähemmän. Tällaisessa tilanteessa henkilöstöpäiväkirja olisi olennainen, jos se voi todellakin osoittaa tällaisen väitteen todeksi tai vääräksi. Kansallisen tuomioistuimen on arvioitava sen olennaisuutta ottaen huomioon muut asian tosiseikat (esimerkiksi Fastecin väite, jonka mukaan henkilöstöpäiväkirja sisältää ainoastaan osan olennaisista työtunneista ja että muut työtunnit on tehty työmaan ulkopuolella).

68.

Jotta tietojen minimointia koskeva kolmas edellytys täyttyisi, kansallisen tuomioistuimen on määritettävä, ovatko kaikki vai ainoastaan osa päiväkirjan tiedoista riittäviä todistelutarkoituksiin. Jos on muita tapoja näyttää toteen sama tosiseikka, tietojen minimointi edellyttää lisäksi, että käytetään näitä muita tapoja. Kansallisen tuomioistuimen on esimerkiksi ehkä arvioitava Fastecin väitettä, jonka mukaan tosiasialliset työtunnit voidaan varmistaa sellaisista asiakirjoista, jotka sisältyvät jo ennakkoratkaisua pyytäneen tuomioistuimen asiakirja-aineistoon. Jos se toteaa tämän väitteen pitävän paikkansa, kansallinen tuomioistuin ei voi määrätä henkilöstöpäiväkirjaan sisältyvien henkilötietojen luovuttamisesta.

69.

Kansallisen tuomioistuimen on määritettävä, minkä tyyppiset päiväkirjaan sisältyvät henkilötiedot riittävät asiaa koskevien tosiseikkojen näyttämiseksi paikkansapitäviksi tai virheellisiksi. Tältä osin tietojen minimoinnin periaate edellyttää, että kyseessä olevaa tarkoitusta varten luovutetaan ainoastaan tiedot, jotka ovat ehdottoman välttämättömiä. Näin ollen saattaa olla tarpeen, että Entral henkilötietojen käsittelijänä mukauttaa henkilöstöpäiväkirjaa siten, että se rajaa henkilötiedot tarvittavaan vähimmäismäärään, jolla mahdollistetaan päätelmien tekeminen tosiasiallisista työtunneista.

70.

Tältä osin kansallisen tuomioistuimen on määritettävä, onko tarpeen, että henkilöt, joiden tiedot sisältyvät päiväkirjaan, voidaan tunnistaa, jotta luovuttamisella on todistusarvoa (esimerkiksi jos on tarpeen nimetä yksittäisiä työnrekijöitä, jotta heidät voidaan kutsua todistajiksi). Muutoin saattaa riittää, että on käytettävissä tiedot rakennuksella tehtyjen työtuntien kokonaismäärästä ja/tai niiden työntekijöiden määrästä, jotka ovat työskennelleet näinä tunteina.

71.

Edellä esitettyihin kysymyksiin annetuista vastauksista riippuen tuomioistuin voi päättää pyytää luovuttamaan pseudonymisoituja tai anonymisoituja tietoja. ( 35 )

72.

Yleisen tietosuoja-asetuksen johdanto-osan 26 perustelukappaleen mukaan pseudonymisoidut henkilötiedot kuuluvat edelleen yleisen tietosuoja-asetuksen aineelliseen soveltamisalaan. Näin on siksi, koska on mahdollista selvittää pseudonyymin taustalla oleva henkilön henkilöllisyys. Anonymisoidut tiedot sen sijaan eivät kuulu sen soveltamisalaan. Tapa, jolla kansallinen tuomioistuin viime kädessä määrää tietojen luovuttamisesta, vaikuttaa siten myös siihen, voidaanko yleistä tietosuoja-asetusta edelleen soveltaa. ( 36 )

73.

On viime kädessä kansallisen tuomioistuimen tehtävä määrittää henkilöstöpäiväkirjan eri versioiden todistusarvo voidakseen päättää, minkä tyyppinen tietojen minimointi on – jos ylipäätään – tarpeen, jotta siinä vireillä oleva oikeudenkäynti voidaan saattaa asianmukaisesti päätökseen.

74.

Yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohtaan sisältyvän tietojen minimoinnin periaatteen lisäksi muut samaan artiklaan sisältyvät periaatteet sitovat myöskin kansallista tuomioistuinta ja ovat merkityksellisiä luovuttamismääräyksen antamismenetelmän kannalta.

75.

Esimerkiksi yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohdassa paitsi viitataan lainmukaisuusperiaatteeseen (jota tarkastellaan lähemmin sen 6 artiklassa) myös mainitaan läpinäkyvyysperiaate. Kyseinen periaate edellyttää nähdäkseni, että kansallinen tuomioistuin selittää selkeästi päätöksensä määrätä henkilötietojen luovuttamisesta muun muassa esittämällä, miten se punnitsi luovuttamiseen liittyviä asianosaisten eri etuja ja perusteluja.

76.

Luovuttamismääräykseen sisältyvät asianmukaiset perustelut täyttävät myös yleisen tietosuoja-asetuksen 5 artiklan 2 kohtaan sisältyvän vaatimuksen, jonka mukaan rekisterinpitäjän on pystyttävä osoittamaan se, että 5 artiklan 1 kohdan periaatteita on noudatettu.

77.

Tapa, jolla yleisen tietosuoja-asetuksen 5 artiklan periaatteita on noudatettava, käy ilmi myös saman asetuksen johdanto-osan 31 perustelukappaleesta. Siinä edellytetään, että ”viranomaisten lähettämien luovutuspyyntöjen olisi aina oltava kirjallisia, perusteltuja ja satunnaisia, eikä niiden pitäisi koskea kokonaista rekisteriä tai johtaa rekisterien yhteenliittämiseen”.

78.

Puolan hallitus on tuonut esille huolenaiheen, joka liittyy kansallisen tuomioistuimen tekemään oikeasuhteisuuden arviointiin: jos kansallisen tuomioistuimen on arvioitava henkilöstöpäiväkirjan tai jonkin muun todisteen todistusarvoa siinä vireillä olevassa oikeudenkäynnissä, eikö siitä tule jo liian osallinen siihen, minkä pitäisi olla asianosaisten tehtävä, nimittäin pyrkimyksiin saada tukea näkemykselleen, joka koskee juurikin tällaisen todisteen todistusarvoa?

79.

Todistusarvon arviointi, jossa otetaan huomioon rekisteröityjen edut, ei mielestäni johda siihen, että asiaan puututtaisiin yhtään sen enempää kuin arvioitaessa jonkin muun todisteen todistusarvoa siviiliprosessissa. ( 37 )

80.

Se, missä määrin kansallinen tuomioistuin puuttuu asiaan, riippuu tietojen, joiden luovuttamista pyydetään, todistusarvon ilmeisyydestä yksittäistapauksen olosuhteissa. On aina tapauskohtaista, missä määrin luovuttamisella saatetaan puuttua rekisteröityjen etuihin.

81.

Esimerkiksi joihinkin tapauksiin voi liittyä arkaluonteisia tietoja, joihin sovelletaan yleisen tietosuoja-asetuksen 9 artiklan mukaista erityistä suojelujärjestelmää, tai rikostuomioihin ja rikoksiin liittyviä tietoja, joihin sovelletaan sen 10 artiklan sääntelyjärjestelmää. Tällaisissa tilanteissa rekisteröityjen edut saavat väistämättä enemmän painoarvoa. ( 38 ) Samoin luovuttamista koskeva intressi voi vaihdella yksittäistapauksissa. Toisinaan on selvää, että pyydetyn todisteen merkitys on vähäinen, kun taas muissa tilanteissa sillä on keskeinen merkitys asian lopputuloksen määrittämisen kannalta. Tältä osin komission huomautuksella, jonka mukaan kansallisella tuomioistuimella olisi oltava laaja harkintavalta tällaisia arviointeja tehdessään, on omat ansionsa. Sitä ei kuitenkaan pitäisi vapauttaa velvoitteesta ottaa rekisteröityjen edut huomioon.

82.

Tšekin hallitus esitti toisen huolenaiheen: se, että kansalliset tuomioistuimet velvoitetaan ottamaan rekisteröityjen edut huomioon aina, kun ne määräävät asiakirjatodisteiden luovuttamisesta, haittaisi oikeudenkäyntien säännönmukaista sujumista. Yleisessä tietosuoja-asetuksessa nimittäin asetetaan tuomioistuimille lisävelvoite ( 39 ) eli velvoite arvioida oikeasuhteisuutta ennen kuin ne määräävät henkilötietoja sisältävien asiakirjatodisteiden luovuttamisesta. Etujen punninta ei kuitenkaan ole mitenkään epätavallinen älyllinen tehtävä tuomioistuimille, eikä kansallisille tuomioistuimille asetettu rasite poikkea kaikille rekisterinpitäjille yleisessä tietosuoja-asetuksessa asetetusta rasitteesta.

83.

Jos unionin kansalaisten on tarkoitus nauttia henkilötietojensa korkeatasoisesta suojasta unionin lainsäätäjän valinnan, sellaisena kuin se ilmaistaan yleisessä tietosuoja-asetuksessa, mukaisesti, rekisteröityjen etujen huomioon ottamista ei voida pitää kohtuuttomana rasitteena jäsenvaltioiden tuomioistuimille.

84.

Ehdotan näin ollen, että unionin tuomioistuin vastaa ennakkoratkaisua pyytäneen tuomioistuimen toiseen kysymykseen seuraavasti: päättäessään siviiliprosessissa luovuttamismääräyksestä, johon liittyy henkilötietojen käsittelyä, kansallisen tuomioistuimen on tehtävä oikeasuhteisuuden arviointi, jossa otetaan huomioon niiden rekisteröityjen edut, joiden henkilötietoja on tarkoitus käsitellä, ja punnita niitä oikeudenkäynnin asianosaisten todisteiden hankkimista koskevan intressin kanssa. Tätä oikeasuhteisuuden arviointia ohjaavat yleisen tietosuoja-asetuksen 5 artiklassa vahvistetut periaatteet, tietojen minimoinnin periaate mukaan luettuna.

IV Ratkaisuehdotus

85.

Edellä esitetyn perusteella ehdotan, että unionin tuomioistuin vastaa Högsta domstolenin esittämiin kahteen ennakkoratkaisukysymykseen seuraavasti:

1)

Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) 6 artiklan 3 ja 4 kohdassa asetetaan kansalliselle prosessioikeudelle vaatimuksia, jotka liittyvät luovuttamista koskeviin velvoitteisiin, aina kun luovuttamiseen liittyy henkilötietojen käsittelyä. Kansallinen prosessioikeus ei tällaisessa tilanteessa saa estää sitä, että rekisteröityjen edut otetaan huomioon. Nämä edut turvataan, jos kansalliset tuomioistuimet noudattavat asetuksen 2016/679 sääntöjä päättäessään asiakirjatodisteiden luovuttamisesta yksittäistapauksessa.

2)

Päättäessään siviiliprosessissa luovuttamismääräyksestä, johon liittyy henkilötietojen käsittelyä, kansallisen tuomioistuimen on tehtävä oikeasuhteisuuden arviointi, jossa otetaan huomioon niiden rekisteröityjen edut, joiden henkilötietoja on tarkoitus käsitellä, ja punnita niitä oikeudenkäynnin asianosaisten todisteiden hankkimista koskevan intressin kanssa. Tätä oikeasuhteisuuden arviointia ohjaavat yleisen tietosuoja-asetuksen 5 artiklassa vahvistetut periaatteet, tietojen minimoinnin periaate mukaan luettuna.

( 1 ) Alkuperäinen kieli: englanti.

( 2 ) Tämä viesti tulee näkyville osoitteessa https://eulawlive.com/.

( 3 ) Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annettu Euroopan parlamentin ja neuvoston asetus (EU) 2016/679 (yleinen tietosuoja-asetus) (EUVL 2016, L 119, s. 1).

( 4 ) Yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annettu Euroopan parlamentin ja neuvoston direktiivi (EYVL 1995, L 281, s. 31). Direktiivi 95/46 annettiin sisämarkkinoita koskevan oikeusperustan nojalla. Yleisellä tietosuoja-asetuksella tehtyjen muutosten alustavasta tarkastelusta ks. Van Alsenoy, B., ”Liability under EU Data Protection Law. From Directive 95/46 to the General Data Protection Regulation”, Journal of Intellectual Property, Information Technology and Electronic Commerce Law, Vol. 7, 2016, s. 271-288.

( 5 ) Erilaisesta oikeusperustastaan huolimatta direktiivin 95/46 tulkintaa koskeva oikeuskäytäntö on merkityksellinen yleisen tietosuoja-asetuksen ymmärtämisen kannalta. Ks. tältä osin tuomio 17.6.2021, M.I.C.M. (C‑597/19, EU:C:2021:492, 107 kohta). Viittaan näin ollen tarvittaessa direktiiviä 95/46 koskevaan unionin tuomioistuimen oikeuskäytäntöön. Viittaan myös unionin tuomioistuimen oikeuskäytäntöön, joka koskee henkilötietojen käsittelystä ja yksityisyyden suojasta sähköisen viestinnän alalla 12.7.2002 annettua Euroopan parlamentin ja neuvoston direktiiviä 2002/58/EY (sähköisen viestinnän tietosuojadirektiivi) (EYVL 2002, L 201, s. 37), siltä osin kuin se tarjoaa analogisia ratkaisuja tietosuojaoikeutta koskeviin rajoituksiin. Unionin tuomioistuimen mukaan direktiivistä 2002/58 johtuvia oikeuksia koskevien rajoitusten tulkintaa on sovellettava mutatis mutandis yleisen tietosuoja-asetuksen tulkintaan. Ks. tältä osin tuomio 6.10.2020, La Quadrature du Net ym. (C‑511/18, C‑512/18 ja C‑520/18, EU:C:2020:791, 209–211 kohta).

( 6 ) Ks. yleisen tietosuoja-asetuksen johdanto-osan ensimmäinen perustelukappale.

( 7 ) Ks. yleisen tietosuoja-asetuksen 5 artiklan 2 kohta.

( 8 ) Yleisen tietosuoja-asetuksen 4 artiklan 8 alakohdan määritelmän mukaan henkilötietojen käsittelijällä tarkoitetaan ”luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, joka käsittelee henkilötietoja rekisterinpitäjän lukuun”.

( 9 ) Yleisen tietosuoja-asetuksen 6 artiklan 3 kohdan nojalla on niin, että kun käsittely tapahtuu rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi, käsittelyn perustasta on säädettävä joko unionin oikeudessa tai jäsenvaltion lainsäädännössä, jonka on täytettävä yleisen edun mukainen tavoite ja oltava oikeasuhteinen sillä tavoiteltuun oikeutettuun päämäärään nähden. Kansallisen verolainsäädännön noudattamista pidettiin oikeutettuna tarkoituksena tuomiossa 16.1.2019, Deutsche Post (C‑496/17, EU:C:2019:26, 60–63 kohta).

( 10 ) Ks. analogisesti tuomio 2.3.2021, Prokuratuur (Sähköiseen viestintään liittyvien tietojen saannin edellytykset) (C‑746/18, EU:C:2021:152, 44 kohta).

( 11 ) Henkilötietojen käsittelyn tarkoituksen ja keinojen määritteleminen ovat keskeisiä toimia, jotka määrittävän sen, kuka on rekisterinpitäjä. Ks. tuomio 10.7.2018, Jehovan todistajat (C‑25/17, EU:C:2018:551, 68 kohta). Ks. myös Bygrave, L.A. ja Tossoni, L., ”Article 4(7). Controller” teoksessa Kuner, C., Bygrave, L.A., Docksey, C. ja Drechsler, L. (toim.), The EU General Data Protection Regulation (GDPR): A Commentary, OUP, Oxford, 2021, sivulla 150.

( 12 ) Istunnossa Puolan ja Ruotsin hallitukset sekä komissio olivat yhtä mieltä siitä, että tämä rooli kuuluu nyt kansalliselle tuomioistuimelle. Nycander väitti, että Fastec on edelleen ainoa rekisterinpitäjä jälkimmäisessä käsittelyssä, samalla kun kansallinen tuomioistuin toimii välittäjän roolissa. Huomautettakoon, ettei käsitettä ”välittäjä” käytetä yleisessä tietosuoja-asetuksessa.

( 13 ) Yleisen tietosuoja-asetuksen 4 artiklan 9 alakohdan mukaan vastaanottajalla tarkoitetaan luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, jolle luovutetaan henkilötietoja, oli kyseessä kolmas osapuoli tai ei. Siviiliprosessin asianosaisina sekä Fastecista että Nycanderista tulee tuomioistuimen luovuttamismääräyksen perusteella käsiteltyjen tietojen vastaanottajia. Komissio väitti istunnossa, että Fastec toimii edelleen rekisterinpitäjänä sen sijaan, että siitä olisi tullut tietojen vastaanottaja.

( 14 ) Yleisen tietosuoja-asetuksen 26 artiklan 1 kohdassa säädetään seuraavaa: ”Jos vähintään kaksi rekisterinpitäjää määrittää yhdessä käsittelyn tarkoitukset ja keinot, ne ovat yhteisrekisterinpitäjiä. Ne määrittelevät keskinäisellä järjestelyllä läpinäkyvällä tavalla kunkin vastuualueen tässä asetuksessa vahvistettujen velvoitteiden noudattamiseksi, erityisesti rekisteröityjen oikeuksien käytön ja 13 ja 14 artiklan mukaisten tietojen toimittamista koskevien tehtäviensä osalta, paitsi jos ja siltä osin kuin rekisterinpitäjiin sovellettavassa unionin oikeudessa tai jäsenvaltion lainsäädännössä määritellään rekisterinpitäjien vastuualueet. Järjestelyn yhteydessä voidaan nimetä rekisteröidyille yhteyspiste.” Ks. myös tuomio 29.7.2019, Fashion ID (C‑40/17, EU:C:2019:629, 67 kohta).

( 15 ) Unionin tuomioistuin selitti, että rekisterinpitäjän käsite on laaja ja että eri toimijat voivat osallistua henkilötietojen käsittelyyn eri vaiheissa. Tuomio 29.7.2019, Fashion ID (C‑40/17, EU:C:2019:629, 70 kohta).

( 16 ) Jälkimmäinen on merkityksellinen ainoastaan poikkeuksellisesti. Esimerkiksi yleisen tietosuoja-asetuksen 2 artiklan 3 kohdan mukaan yleistä tietosuoja-asetusta ei sovelleta unionin toimielinten, elinten ja laitosten suorittamaan henkilötietojen käsittelyyn. Siihen sovelletaan kuitenkin yksilöiden suojelusta yhteisöjen toimielinten ja elinten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 18.12.2000 annettua Euroopan parlamentin ja neuvoston asetusta (EY) N:o 45/2001 (EYVL 2001, L 8, s. 1).

( 17 ) Tuomio 9.7.2020, Land Hessen (C‑272/19, EU:C:2020:535, 68 kohta).

( 18 ) Yleisen tietosuoja-asetuksen 2 artiklan 2 kohdassa säädetään seuraavaa: ”Tätä asetusta ei sovelleta henkilötietojen käsittelyyn, a) jota suoritetaan sellaisen toiminnan yhteydessä, joka ei kuulu unionin lainsäädännön soveltamisalaan; b) jota suorittavat jäsenvaltiot toteuttaessaan SEU V osaston 2 luvun soveltamisalaan kuuluvaa toimintaa; c) jonka luonnollinen henkilö suorittaa yksinomaan henkilökohtaisessa tai kotitalouttaan koskevassa toiminnassa; d) jota toimivaltaiset viranomaiset suorittavat rikosten ennalta estämistä, tutkintaa, paljastamista tai rikoksiin liittyviä syytetoimia varten tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten.”

( 19 ) Yleisen tietosuoja-asetuksen johdanto-osan 20 perustelukappaleen sanamuoto on seuraava: ”Vaikka tätä asetusta sovelletaan muun muassa tuomioistuinten ja muiden oikeusviranomaisten toimintaan, unionin oikeudessa tai jäsenvaltion lainsäädännössä voitaisiin täsmentää käsittelytoimia ja ‑menettelyitä tuomioistuinten ja muiden oikeusviranomaisten suorittaman henkilötietojen käsittelyn osalta. Valvontaviranomaisten toimivalta ei saa kattaa tuomioistuinten oikeudellisiin tehtäviin liittyvää henkilötietojen käsittelyä, jotta voidaan turvata oikeuslaitoksen riippumattomuus sen hoitaessa lainkäyttötehtäviään, päätöksenteko mukaan lukien. Tällaisten tiedonkäsittelytoimien valvonta olisi voitava uskoa jäsenvaltion oikeusjärjestelmään kuuluville erityiselimille, joiden olisi erityisesti varmistettava tämän asetuksen sääntöjen noudattaminen, vahvistettava oikeuslaitoksen edustajien tietoisuutta niille tämän asetuksen mukaisesti kuuluvista velvoitteista ja käsiteltävä tällaisiin tiedonkäsittelytoimiin liittyviä valituksia.”

( 20 ) Ks. tältä osin tuomio 24.3.2022, Autoriteit Persoonsgegevens (C‑245/20, EU:C:2022:216, 25 ja 26 kohta).

( 21 ) Unionin tuomioistuin on vahvistanut, että etenkin työaikarekisteriin sisältyvät tiedot ovat henkilötietoja, 30.5.2013 antamassaan tuomiossa Worten (C‑342/12, EU:C:2013:355, 19 kohta).

( 22 ) Asiakirjojen siirtoa tuomioistuimelle siviiliprosessia varten pidettiin henkilötietojen käsittelynä julkisasiamies Campos Sánchez-Bordonan ratkaisuehdotuksessa Inspektor v. Inspektorata kam Visshia sadeben savet (Tietojenkäsittelyn tarkoitukset - Rikostutkinta) (C‑180/21, EU:C:2022:406, 82 ja 83 kohta). Tämän ratkaisuehdotuksen esittämisajankohtana kyseinen asia on edelleen vireillä unionin tuomioistuimessa.

( 23 ) Direktiivin 2002/58 yhteydessä unionin tuomioistuin katsoi, ettei kyseisessä direktiivissä suljeta pois jäsenvaltioiden mahdollisuutta säätää velvollisuudesta paljastaa henkilötietoja siviiliprosessin yhteydessä. Ks. vastaavasti tuomio 29.1.2008, Promusicae (C‑275/06, EU:C:2008:54, 54 kohta). Sama pätee mielestäni myös yleiseen tietosuoja-asetukseen.

( 24 ) Lisäksi komissio esitti, että toinen syy, jolla voitaisiin oikeuttaa käsiteltävässä asiassa kyseessä olevien tietojen käsittely muuhun tarkoitukseen, voisi olla yleisen tietosuoja-asetuksen 23 artiklan 1 kohdan i alakohta (”rekisteröidyn suojelu tai muille kuuluvat oikeudet ja vapaudet”). Puolan hallitus taas viittasi yleisen tietosuoja-asetuksen 23 artiklan 1 kohdan j alakohtaan (”yksityisoikeudellisten vaateiden täytäntöönpano”).

( 25 ) Käsittely julkisen vallan käyttämiseksi mahdollistetaan yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan e alakohdassa.

( 26 ) Käsittely voi perustua myös rekisteröidyn suostumukseen. Tästä ei kuitenkaan ole kyse nyt käsiteltävässä asiassa.

( 27 ) Unionin tuomioistuimen ja jäsenvaltioiden tuomioistuinten ennakkoratkaisumenettelyä koskevan toimivallanjaon mukaisesti on kansallisen tuomioistuimen tehtävä ratkaista, onko asia todellakin näin.

( 28 ) Tuomio 16.1.2019, Deutsche Post (C‑496/17, EU:C:2019:26, 57 kohta) ja tuomio 6.10.2020, La Quadrature du Net ym. (C‑511/18, C‑512/18 ja C‑520/18, EU:C:2020:791, 208 kohta). Unionin tuomioistuin totesi aiemmin samoin direktiivistä 95/46. Ks. esim. tuomio 20.5.2003, Österreichischer Rundfunk ym. (C‑465/00, C‑138/01 ja C‑139/01, EU:C:2003:294, 65 kohta) ja tuomio 13.5.2014, Google Spain ja Google (C‑131/12, EU:C:2014:317, 71 kohta).

( 29 ) Julkisasiamies Pikamäen ratkaisuehdotus Vyriausioji tarnybinės etikos komisija (C-184/20, EU:C:2021:991, 36 kohta).

( 30 ) Unionin tuomioistuin totesi, että yleisen tietosuoja-asetuksen 6 artiklassa vahvistetaan tyhjentävä ja suppea luettelo tilanteista, joissa henkilötietojen käsittelyn voidaan katsoa olevan lainmukaista. Ks. tuomio 22.6.2021, Latvijas Republikas Saeima (Liikennerikkomuspisteet) (C‑439/19, EU:C:2021:504, 99 kohta). Direktiivin 95/46 yhteydessä unionin tuomioistuin omaksui saman lähestymistavan käsittelyn lainmukaisuuteen 4.5.2017 antamassaan tuomiossa Rīgas satiksme (C‑13/16, EU:C:2017:336, 25 kohta) ja 11.12.2019 antamassaan tuomiossa Asociaţia de Proprietari bloc M5A-ScaraA (C‑708/18, EU:C:2019:1064, 37 ja 38 kohta).

( 31 ) Ks. myös yleisen tietosuoja-asetuksen johdanto-osan 39 perustelukappale, jossa todetaan seuraavaa: ”– – Henkilötietojen olisi oltava riittäviä ja olennaisia ja rajoituttava siihen, mikä on välttämätöntä niiden käsittelyn tarkoitusten kannalta.– – Henkilötietoja olisi käsiteltävä vain jos käsittelyn tarkoitusta ei voida kohtuullisesti toteuttaa muilla keinoin.”

( 32 ) Unionin tuomioistuin selitti, että intressien vertailu riippuu kunkin tapauksen konkreettisista olosuhteista. Ks. tältä osin tuomio 4.5.2017, Asociaţia de Proprietari bloc M5A-ScaraA (C‑708/18, EU:C:2020:104, 32 kohta).

( 33 ) Ks. analogisesti tuomio 9.11.2010, Volker und Markus Schecke ja Eifert (C‑92/09 ja C‑93/09, EU:C:2010:662, 77 kohta).

( 34 ) Tuomio 22.6.2021, Latvijas Republikas Saeima (Liikennerikkomuksista määrätyt pisteet) (C‑439/19, EU:C:2021:504, 98 kohta).

( 35 ) Fastec nimittäin vaatii ennakkoratkaisua pyytänyttä tuomioistuinta joko hylkäämään Nycanderin vaatimuksen henkilöstöpäiväkirjan esittämisestä tai toissijaisesti, että henkilöstöpäiväkirja esitetään vasta anonymisoinnin jälkeen. Komissio, joka vetoaa tietojen minimoinnin periaatteeseen ja viittaa yleisen tietosuoja-asetuksen 25 artiklan 1 kohtaan, ehdotti, että ratkaisuna voisi myös olla se, että henkilörekisteristä esitetään pseudonymisoitu versio.

( 36 ) Esimerkiksi päiväkirjan anomysoiminen vapauttaa rekisterinpitäjän velvollisuudesta ilmoittaa käsittelystä rekisteröidyille, mitä tavallisesti edellytettäisiin yleisen tietosuoja-asetuksen 14 artiklassa.

( 37 ) Kuten ennakkoratkaisua pyytänyt tuomioistuin selitti, RB:n nojalla tuomioistuimet ovat jo velvollisia punnitsemaan todisteiden merkityksellisyyttä näiden tietojen luovuttamatta jättämistä koskevan vastapuolen intressin kanssa.

( 38 ) Direktiivin 2002/58 yhteydessä unionin tuomioistuin on johdonmukaisesti katsonut, että mitä enemmän tietosuojaa koskevaan oikeuteen puututaan, sitä tärkeämpi yleisen edun mukaisen tavoitteen on oltava. Tuomio 21.12.2016, Tele2 Sverige ja Watson ym. (C‑203/15 ja C‑698/15, EU:C:2016:970, 115 kohta); tuomio 2.10.2018, Ministerio Fiscal (C‑207/16, EU:C:2018:788, 55 kohta); tuomio 6.10.2020, La Quadrature du Net ym. (C‑511/18, C‑512/18 ja C‑520/18, EU:C:2020:791, 131 kohta) ja tuomio 2.3.2021, Prokuratuur (Sähköiseen viestintään liittyvien tietojen saannin edellytykset) (C‑746/18, EU:C:2021:152, 32 kohta).

( 39 ) Niissä oikeusjärjestestyksissä, joiden menettelysäännöissä ei ole aiemmin vaadittu tällaista arviointia.