Asia C-101/01


Rikosoikeudenkäynti
Bodil Lindqvistiä

vastaan


(Göta hovrättin (Ruotsi) esittämä ennakkoratkaisupyyntö)

«Direktiivi 95/46/EY – Soveltamisala – Henkilötietojen julkaiseminen Internetissä – Julkaisupaikka – Henkilötietojen siirtämistä kolmanteen maahan koskeva käsite – Sananvapaus – Jäsenvaltion lainsäädännössä vahvistetun vahvemman henkilötietosuojan yhteensopivuus direktiivin 95/46/EY kanssa»

Julkisasiamies A. Tizzanon ratkaisuehdotus 19.9.2002
    
Yhteisöjen tuomioistuimen tuomio 6.11.2003
    

Tuomion tiivistelmä

1..
Jäsenvaltioiden lainsäädännön lähentäminen – Direktiivi 95/46/EY – Soveltamisala – Kokonaan tai osittain automatisoidun henkilötietojen käsittelyn käsite – Se, että Internet-sivulla viitataan henkilöihin ja yksilöidään heidät joko nimeltä tai muulla tavoin – Kuuluminen soveltamisalaan – Poikkeukset – Valtiolle tai valtion viranomaisille tyypilliset toiminnat, jotka eivät liity yksityisten henkilöiden toiminta-aloihin – Toiminta, joka kuuluu yksityisen henkilön yksityis- tai perhe-elämään – Henkilötietojen käsittely, joka koostuu niiden julkaisemisesta Internetissä, vapaaehtoisen tai uskonnollisen toiminnan harjoittamiseksi – Soveltamisalan ulkopuolelle jääminen

(Euroopan parlamentin ja neuvoston direktiivin 95/46/EY 3 artiklan 1 kohta ja 2 kohdan ensimmäinen ja toinen luetelmakohta)

2..
Jäsenvaltioiden lainsäädännön lähentäminen – Direktiivi 95/46/EY – Soveltamisala – Terveyteen liittyvän henkilötiedon käsite – Maininta siitä, että henkilö on loukannut jalkansa ja on osa-aikaisella sairaslomalla – Kuuluminen soveltamisalaan

(Euroopan parlamentin ja neuvoston direktiivin 95/46/EY 8 artiklan 1 kohta)

3..
Jäsenvaltioiden lainsäädännön lähentäminen – Direktiivi 95/46/EY – Kolmanteen maahan tapahtuva henkilötietojen siirtäminen – Käsite – Tietojen laittaminen Internet-sivulle ja tietojen saattaminen näin kaikkien sellaisten henkilöiden saataville, joilla on tähän tarvittavat tekniset välineet, kolmansissa maissa olevat henkilöt mukaan lukien – Soveltamisalan ulkopuolelle jääminen

(Euroopan parlamentin ja neuvoston direktiivin 95/46/EY 25 artikla)

4..
Jäsenvaltioiden lainsäädännön lähentäminen – Direktiivi 95/46/EY – Perusoikeuksien kunnioittaminen – Sananvapaus – Direktiivin täytäntöönpanevan kansallisen sääntelyn soveltamisesta vastaavien kansallisten viranomaisten velvollisuus taata kyseessä olevien oikeuksien ja intressien välinen asianmukainen tasapaino

(Euroopan ihmisoikeussopimuksen 10 artikla; Euroopan parlamentin ja neuvoston direktiivi 95/46/EY)

5..
Jäsenvaltioiden lainsäädännön lähentäminen – Direktiivi 95/46/EY – Henkilötietojen tietosuojan toteuttamista koskeva kansallinen lainsäädäntö – Välttämätön yhdenmukaisuus sekä direktiivin säännösten että sen tavoitteen kanssa – Jäsenvaltion mahdollisuus laajentaa sen soveltamisalaa aloihin, jotka eivät kuulu direktiivin soveltamisalaan – Rajat

(Euroopan parlamentin ja neuvoston direktiivi 95/46/EY)

1.
Sitä, että Internet-kotisivulla viitataan henkilöihin ja yksilöidään heidät joko nimeltä tai muulla tavoin, kuten ilmoittamalla heidän puhelinnumeronsa tai antamalla tietoja heidän työsuhteestaan ja harrastuksistaan, on pidettävä yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta annetun direktiivin 95/46/EY 3 artiklan 1 kohdassa tarkoitettuna kokonaan tai osittain automatisoituna henkilötietojen käsittelynä. Tällainen henkilötietojen käsittely vapaaehtoisen tai uskonnollisen toiminnan harjoittamiseksi ei kuulu minkään mainitun artiklan 2 kohdassa säädetyn poikkeuksen alaan. Toisaalta näet ensimmäinen poikkeus, josta on säädetty mainitun 2 kohdan ensimmäisessä luetelmakohdassa, koskee henkilötietojen käsittelyä, joka suoritetaan sellaisessa toiminnassa, joka ei kuulu yhteisön oikeuden soveltamisalaan, kuten toiminta, josta on määrätty Euroopan unionista tehdyn sopimuksen V ja VI osastossa, ja kaikissa tapauksissa käsittely, joka koskee yleistä turvallisuutta, puolustusta, valtion turvallisuutta (myös valtion taloudellista hyvinvointia, kun käsittelyoperaatio on sidoksissa valtion turvallisuutta koskeviin kysymyksiin) ja rikosoikeuden alalla tapahtuvaa valtion toimintaa. Tässä säännöksessä esimerkkinä mainitut toiminnat ovat kaikki valtiolle tai valtion viranomaisille tyypillisiä toimintoja, jotka eivät liity yksityisten henkilöiden toiminta-aloihin ja jotka on tarkoitettu rajaamaan tässä säännöksessä säädetyn poikkeuksen soveltamisalaa niin, että poikkeusta sovelletaan vain toimintaan, joka siinä on nimenomaisesti mainittu tai jonka voidaan katsoa kuuluvan samaan ryhmään. Vapaaehtoinen tai uskonnollinen toiminta ei kuitenkaan ole rinnastettavissa mainitussa säännöksessä mainittuihin toimintoihin, eikä se näin kuulu tämän poikkeuksen alaan. Saman 2 kohdan toisessa luetelmakohdassa säädetty toinen poikkeus toisaalta kohdistuu ainoastaan toimintaan, joka kuuluu yksityisen henkilön yksityis- tai perhe-elämään, mistä ei ilmeisestikään ole kysymys sellaisessa henkilötietojen käsittelyssä, jossa tiedot julkaistaan Internet-sivulla siten, että ne saatetaan ennalta määrittelemättömän henkilöryhmän saataville. ks. 27, 38 ja 43─48 kohta sekä tuomiolauselman 1 ja 2 kohta

2.
Sitä, että henkilö on loukannut jalkansa ja on osa-aikaisella sairaslomalla, on pidettävä yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta annetun direktiivin 95/46/EY 8 artiklan 1 kohdassa tarkoitettuna terveyteen liittyvänä henkilötietona. Direktiivin tarkoitus huomioon ottaen näet tässä säännöksessä käytettyä ilmaisua terveyteen liittyvät tiedot on tulkittava sillä tavoin laajasti, että se käsittää kaikki niin fyysiset kuin psyykkisetkin henkilön terveyteen liittyvät tekijät. ks. 50 ja 51 kohta sekä tuomiolauselman 3 kohta

3.
Yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta annetun direktiivin 95/46/EY 25 artiklassa tarkoitetusta henkilötietojen siirrosta kolmansiin maihin ei ole kyse silloin, kun tietyssä jäsenvaltiossa oleva henkilö laittaa henkilötietoja Internet-sivulle, joka on tallennettu sellaisen luonnollisen tai oikeushenkilön palvelimelle, joka säilyttää sitä Internet-sivustoa, jolta kyseistä sivua voidaan lukea ja joka toimii samassa tai jossakin toisessa jäsenvaltiossa, saattaen tiedot näin kaikkien sellaisten henkilöiden saataville, jotka kytkeytyvät Internetiin, kolmansissa maissa olevat henkilöt mukaan lukien. Kun näet otetaan huomioon Internetin kehitysaste silloin kun direktiiviä 95/46/EY laadittiin, sekä se, että sen IV luvussa, johon mainittu 25 artikla kuuluu, ei ole Internetin käyttöön soveltuvia kriteereitä, joiden tarkoituksena on turvata se, että jäsenvaltiot kykenevät valvomaan henkilötietojen siirtämistä kolmansiin maihin ja kieltämään nämä henkilötietojen siirrot silloin, kun tällaisissa maissa voimassa oleva tietosuoja ei ole riittävä, ei voida olettaa yhteisöjen lainsäätäjän aikoneen tulevaisuuden varalta sisällyttää käsitteeseen henkilötietojen siirto kolmansiin maihin tällaista tilannetta, jossa henkilötietoja laitetaan Internet-sivulle, vaikka tiedot saatetaankin tällä tavoin sellaisten kolmansissa maissa olevien henkilöiden saataville, joilla on tähän tarvittavat tekniset välineet. ks. 63, 64, 68 ja 71 kohta sekä tuomiolauselman 4 kohta

4.
Yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta annetun direktiivin 95/46/EY säännökset eivät sellaisenaan sisällä sananvapautta koskevan yleisen periaatteen tai muiden, erityisesti Euroopan ihmisoikeussopimuksen 10 artiklaa vastaavien Euroopan unionissa voimassa olevien oikeuksien ja vapauksien vastaisia rajoituksia. Mainitun direktiivin täytäntöönpanevan kansallisen sääntelyn soveltamisesta vastaavien kansallisten viranomaisten ja tuomioistuinten tehtävänä on taata kyseessä olevien oikeuksien ja intressien, yhteisön oikeusjärjestyksessä suojatut perusoikeudet mukaan lukien, välinen asianmukainen tasapaino. ks. 90 kohta ja tuomiolauselman 5 kohta

5.
Toimenpiteiden, jotka jäsenvaltiot toteuttavat henkilötietojen tietosuojan toteuttamiseksi, on oltava yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta annetun direktiivin 95/46/EY säännösten ja direktiivin sen tavoitteen mukaisia, joka koskee henkilötietojen vapaan liikkuvuuden ja yksityiselämän suojan välisen tasapainon säilyttämistä. Mikään ei sitä vastoin estä sitä, että jäsenvaltio laajentaa sen kansallisen lainsäädännön alaa, jolla mainittu direktiivi pannaan täytäntöön, aloihin, jotka eivät kuulu direktiivin soveltamisalaan, ellei jokin muu yhteisön oikeussääntö tätä estä. ks. 99 kohta ja tuomiolauselman 6 kohta




YHTEISÖJEN TUOMIOISTUIMEN TUOMIO
6 päivänä marraskuuta 2003 (1)


Direktiivi 95/46/EY – Soveltamisala – Henkilötietojen julkaiseminen Internetissä – Julkaisupaikka – Henkilötietojen siirtämistä kolmanteen maahan koskeva käsite – Sananvapaus – Jäsenvaltion lainsäädännössä vahvistetun vahvemman henkilötietosuojan yhteensopivuus direktiivin 95/46/EY kanssa

Asiassa C-101/01,

jonka Göta hovrätt (Ruotsi) on saattanut EY 234 artiklan nojalla yhteisöjen tuomioistuimen käsiteltäväksi saadakseen tässä kansallisessa tuomioistuimessa vireillä olevassa rikosoikeudenkäynnissä, jossa vastaajana on

Bodil Lindqvist ,

ennakkoratkaisun erityisesti yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24 päivänä lokakuuta 1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY (EYVL L 281, s. 31) tulkinnasta,

YHTEISÖJEN TUOMIOISTUIN,,



toimien kokoonpanossa: ensimmäisen jaoston puheenjohtaja P. Jann, joka hoitaa presidentin tehtäviä, jaostojen puheenjohtajat C. W. A. Timmermans, C. Gulmann, J. N. Cunha Rodrigues ja A. Rosas sekä tuomarit D. A. O. Edward (esittelevä tuomari), J.-P. Puissochet, F. Macken ja S. von Bahr,

julkisasiamies: A. Tizzano,
kirjaaja: apulaiskirjaaja H. von Holstein,

ottaen huomioon kirjalliset huomautukset, jotka sille ovat esittäneet

─
Lindqvist, edustajanaan advokat S. Larsson,

─
Ruotsin hallitus, asiamiehenään A. Kruse,

─
Alankomaiden hallitus, asiamiehenään H. G. Sevenster,

─
Yhdistyneen kuningaskunnan hallitus, asiamiehenään G. Amodeo, jota avustaa barrister J. Stratford,

─
Euroopan yhteisöjen komissio, asiamiehinään L. Ström ja X. Lewis,

ottaen huomioon suullista käsittelyä varten laaditun kertomuksen,

kuultuaan Lindqvistin, edustajanaan S. Larsson, Ruotsin hallituksen, asiamiehinään A. Kruse ja B. Hernqvist, Alankomaiden hallituksen, asiamiehenään J. van Bakel, Yhdistyneen kuningaskunnan hallituksen, asiamiehenään J. Stratford, komission, asiamiehinään L. Ström ja C. Docksey, ja EFTAn valvontaviranomaisen, asiamiehenään D. Sif Tynes, 30.4.2003 pidetyssä istunnossa esittämät suulliset huomautukset,

kuultuaan julkisasiamiehen 19.9.2002 pidetyssä istunnossa esittämän ratkaisuehdotuksen,

on antanut seuraavan



tuomion



1
Göta hovrätt on 23.2.2001 tekemällään päätöksellä, joka on saapunut yhteisöjen tuomioistuimeen 1.3.2001, esittänyt yhteisöjen tuomioistuimelle EY 234 artiklan nojalla seitsemän ennakkoratkaisukysymystä erityisesti yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24 päivänä lokakuuta 1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY (EYVL L 281, s. 31) tulkinnasta.

2
Kysymykset on esitetty tässä kansallisessa tuomioistuimessa käytävässä rikosoikeudenkäynnissä Lindqvist-nimistä henkilöä vastaan. Häntä syytetään siitä, että julkaisemalla omalla Internet-sivustollaan henkilötietoja henkilöistä, jotka ovat hänen kanssaan vapaaehtoistyössä Ruotsin protestanttisen kirkon seurakunnan palveluksessa, hän on rikkonut henkilötietojen suojasta annettua Ruotsin lainsäädäntöä.

Asiaa koskevat oikeussäännöt

Yhteisön lainsäädäntö

3
Direktiivin 95/46/EY tarkoituksena on sen 1 artiklan 1 kohdan mukaan se, että henkilötietojen käsittelyssä luonnollisille henkilöille turvataan heidän perusoikeutensa ja -vapautensa ja erityisesti heidän oikeutensa yksityisyyteen.

4
Direktiivin 95/46/EY 3 artiklassa, joka koskee sen soveltamisalaa, säädetään seuraavaa:

1.
Tätä direktiiviä sovelletaan osittain tai kokonaan automatisoituun tietojenkäsittelyyn sekä sellaisten henkilötietojen manuaaliseen käsittelyyn, jotka muodostavat rekisterin osan tai joiden on tarkoitus muodostaa rekisterin osa.

2.
Tätä direktiiviä ei sovelleta henkilötietojen käsittelyyn,

─
joka suoritetaan sellaisessa toiminnassa, joka ei kuulu yhteisön oikeuden soveltamisalaan, kuten toiminta, josta on määrätty Euroopan unionista tehdyn sopimuksen V ja VI osastossa, ja kaikissa tapauksissa käsittely, joka koskee yleistä turvallisuutta, puolustusta, valtion turvallisuutta (myös valtion taloudellista hyvinvointia, kun käsittelyoperaatio on sidoksissa valtion turvallisuutta koskeviin kysymyksiin) ja rikosoikeuden alalla tapahtuvaa valtion toimintaa,

─
jonka luonnollinen henkilö suorittaa yksinomaan henkilökohtaisessa tai kotitalouttaan koskevassa toiminnassa.

5
Direktiivin 95/46/EY 8 artiklassa Erityisiä tietoryhmiä koskeva tietojenkäsittely säädetään seuraavaa:

1.
Jäsenvaltioiden on kiellettävä sellaisten henkilötietojen käsittely, jotka koskevat rotua tai etnistä alkuperää, poliittisia mielipiteitä, uskonnollista tai filosofista vakaumusta tai ammattiliittoon kuulumista, sekä terveyteen ja seksuaaliseen käyttäytymiseen liittyvien tietojen käsittely.

2.
Edellä 1 kohtaa ei sovelleta, jos

a)
rekisteröity on antanut nimenomaisen suostumuksensa kyseiseen käsittelyyn, paitsi jos jäsenvaltion lainsäädännössä säädetään, että 1 kohdassa tarkoitettua kieltoa ei voida poistaa rekisteröidyn suostumuksella, tai

b)
käsittely on tarpeen rekisterinpitäjän erityisten oikeuksien ja velvoitteiden noudattamiseksi työoikeuden alalla, siltä osin kuin se sallitaan kansallisessa lainsäädännössä, jolla säädetään riittävistä suojatoimista, tai

c)
käsittely on tarpeen rekisteröidyn tai jonkun toisen henkilön elintärkeiden etujen suojaamiseksi, jos rekisteröity on fyysisesti tai juridisesti estynyt antamasta suostumustaan, tai

d)
käsittely suoritetaan poliittisen, filosofisen, uskonnollisen tai ammattiliittotoimintaan liittyvän säätiön, yhdistyksen tai muun voittoa tavoittelemattoman yhteisön laillisen toiminnan yhteydessä ja asianmukaisin suojatoimin, sillä edellytyksellä, että käsittely koskee ainoastaan näiden yhteisöjen jäseniä tai henkilöitä, joilla on yhteisöihin säännölliset, yhteisöjen tarkoituksiin liittyvät yhteydet, ja että tietoja ei luovuteta sivullisille ilman rekisteröityjen suostumusta, tai

e)
käsittely koskee tietoja, jotka rekisteröity on nimenomaisesti saattanut julkisiksi, tai jos käsittely on tarpeen oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi.

3.
Sitä, mitä 1 kohdassa säädetään, ei sovelleta, jos tietojenkäsittely on tarpeen ennalta ehkäisevää lääketiedettä tai lääketieteellisiä diagnooseja koskevia tarkoituksia varten, hoidon tai käsittelyn suorittamista varten taikka terveydenhuollon palvelujen hallintoa varten ja jos näitä tietoja käsittelee terveydenhuollon ammattikoulutuksen saanut henkilö, jota kansallinen lainsäädäntö tai toimivaltaisten kansallisten viranomaisten asettama salassapitovelvollisuus koskee, tai jos tietoja käsittelee muu henkilö, jolla on vastaava velvoite.

4.
Ottaen huomioon tarvittavat suojatoimet jäsenvaltiot voivat, tärkeää yleistä etua koskevasta syystä, toteuttaa muita kuin 2 kohdassa säädettyjä poikkeuksia joko kansallisella lailla tai valvontaviranomaisen päätöksellä.

5.
Rikoksiin, tuomioihin tai turvallisuutta koskeviin toimenpiteisiin liittyvää tietojenkäsittelyä voidaan suorittaa ainoastaan julkisen viranomaisen valvonnassa tai, jos kansallisessa lainsäädännössä säädetään erityisistä tarpeellisista suojatoimista, jäsenvaltion myöntämissä näiden suojatoimien kattamissa poikkeuksissa. Täydellistä rikosrekisteriä ei kuitenkaan saa pitää kuin julkisen viranomaisen valvonnassa.

Jäsenvaltiot voivat säätää siitä, että myös hallinnollisiin sanktioihin tai siviiliprosesseihin liittyviä tietoja on käsiteltävä julkisen viranomaisen valvonnassa.

6.
Komissiolle on ilmoitettava 4 ja 5 kohdan nojalla toteutetuista 1 kohdan poikkeuksista.

7.
Jäsenvaltioiden on määriteltävä olosuhteet, joiden vallitessa henkilönumeroa tai muuta yleistä tunnistetta voidaan käsitellä.

6
Direktiivin 95/46/EY 9 artiklassa Henkilötietojen käsittely ja ilmaisuvapaus säädetään seuraavaa: Jäsenvaltioiden on säädettävä ainoastaan journalistisia tarkoituksia tai taiteellisen tai kirjallisen ilmaisun tarkoituksia varten toteutettua henkilötietojen käsittelyä varten poikkeuksista ja vapautuksista tästä luvusta, IV luvusta ja VI luvusta, ainoastaan jos ne osoittautuvat välttämättömiksi yksityisyyttä koskevan oikeuden ja ilmaisuvapautta koskevien sääntöjen yhteensovittamisessa.

7
Direktiivin 95/46/EY 13 artiklassa Poikkeukset ja rajoitukset säädetään, että jäsenvaltiot voivat säätää rajoituksista tiettyihin direktiivillä henkilötietojen käsittelystä vastuussa olevalle henkilölle asetettuihin velvoitteisiin, erityisesti rekisteröidyn henkilön tiedonsaannin osalta, jos rajoitukset ovat välttämättömiä valtion turvallisuuden, puolustuksen, yleisen turvallisuuden, jäsenvaltiolle tai Euroopan unionille tärkeän taloudellisen tai rahoituksellisen edun turvaamiseksi ja rikostutkinnan ja syyteharkinnan sekä säännellyn ammattitoiminnan ammattietiikan rikkomusten vuoksi.

8
Direktiivin 95/46/EY IV luvussa Henkilötietojen siirto kolmansiin maihin olevassa 25 artiklassa säädetään seuraavaa:

1.
Jäsenvaltioiden on säädettävä siitä, että käsiteltävien tai siirron jälkeen käsiteltäviksi tarkoitettujen henkilötietojen siirto kolmanteen maahan voidaan suorittaa ainoastaan, jos kyseisessä kolmannessa maassa taataan tietosuojan riittävä taso, jollei tämän direktiivin muiden säännösten mukaisesti säädetyistä kansallisista säännöksistä muuta johdu.

2.
Kolmannessa maassa taattavan tietosuojan tason riittävyyttä on arvioitava kaikkien tiettyyn siirtoon tai siirtojen ryhmään liittyvien olosuhteiden osalta; erityisesti on otettava huomioon tietojen luonne, suunnitellun käsittelyn tai suunniteltujen käsittelyjen tarkoitus ja kestoaika, alkuperämaa ja lopullinen kohde, kyseisessä kolmannessa maassa voimassa olevat yleiset tai alakohtaiset oikeussäännöt sekä ammattisäännöt ja tässä maassa noudatettavat turvatoimet.

3.
Jäsenvaltioiden ja komission on informoitava toisiaan, jos ne arvioivat, että tietyssä kolmannessa maassa ei taata tietosuojan riittävää tasoa 2 kohdan tarkoittamassa merkityksessä.

4.
Jos komissio 31 artiklan 2 kohdassa vahvistetun menettelyn mukaisesti toteaa, että tietyssä kolmannessa maassa ei taata tietosuojan riittävää tasoa tämän artiklan 2 kohdassa tarkoitetussa merkityksessä, jäsenvaltioiden on toteutettava tarvittavat toimenpiteet kyseiseen kolmanteen maahan kohdistuvien samanluonteisten siirtojen estämiseksi.

5.
Komissio aloittaa sopivalla hetkellä neuvottelut 4 kohdan mukaisesti tehdystä toteamuksesta aiheutuneen tilanteen korjaamiseksi.

6.
Komissio voi 31 artiklan 2 kohdassa vahvistetun menettelyn mukaisesti todeta, että tietyssä kolmannessa maassa taataan tietosuojan riittävä taso tämän artiklan 2 kohdan tarkoittamassa merkityksessä, mikä johtuu kyseisen maan sisäisestä lainsäädännöstä tai kansainvälisistä sitoumuksista, jotka on tehty erityisesti 5 kohdassa tarkoitettujen neuvottelujen yhteydessä henkilöiden yksityiselämän ja perusoikeuksien ja -vapauksien turvaamiseksi.

Jäsenvaltioiden on toteutettava tarvittavat toimenpiteet noudattaakseen komission päätöstä.

9
Ruotsin kuningaskunta antoi direktiiviä 95/46/EY annettaessa sen 9 artiklaa koskevan julistuksen, joka liitettiin neuvoston pöytäkirjaan (asiakirja nro 4649/95, 2.2.1995), jossa todetaan seuraavaa: Ruotsin tasavalta katsoo, että taiteellisen ja kirjallisen ilmaisun käsitteellä tarkoitetaan lähtökohtaisesti ilmaisukeinoja eikä tiedonvälityksen sisältöä tai sen laatua.

10
Ihmisoikeuksien ja perusvapauksien suojaamisesta tehdyn, Roomassa 4.11.1950 allekirjoitetun yleissopimuksen (Euroopan neuvoston ihmisoikeussopimus; jäljempänä Euroopan ihmisoikeussopimus) 8 artiklassa määrätään oikeudesta nauttia yksityis- ja perhe-elämän kunnioitusta ja sen 10 artiklassa ovat sananvapautta koskevat määräykset.

Kansallinen lainsäädäntö

11
Direktiivi 95/46/EY pantiin täytäntöön Ruotsin kansallisessa oikeusjärjestyksessä personuppgiftslagilla, SFS 1998, nro 204 (henkilötietolaki).

Pääasia ja ennakkoratkaisukysymykset

12
Lindqvist on ollut Alsedan (Ruotsi) seurakunnassa siivoojan toimensa lisäksi mukana rippikoulun ohjaajien koulutuksessa. Hän oli osallistunut tietojenkäsittelykurssiin, jossa hän oli joutunut muun muassa luomaan Internet-kotisivun. Vuoden 1998 lopulla Lindqvist oli perustanut kotonaan omalla tietokoneellaan Internet-kotisivuja, joiden avulla rippikouluun valmistautuvat seurakuntalaiset saisivat helposti tarvitsemiaan tietoja. Ruotsin kirkon Internet-kotisivusta vastaava henkilö oli perustanut linkin näiden sivujen ja kotisivun välille.

13
Nyt kyseessä olevilla sivuilla oli tietoja Lindqvististä ja hänen 18 työtoveristaan seurakunnassa, heidän koko nimensä tai joskus vain etunimensä. Lindqvist oli tämän lisäksi kuvaillut leikkisin sanakääntein työtovereidensa työtehtäviä ja harrastuksia. Useissa tapauksissa oli mainittu henkilöiden perhesuhteet, heidän puhelinnumeronsa ja muita tietoja. Lindqvist oli lisäksi ilmoittanut sivulla, että eräs hänen työtovereistaan oli loukannut jalkansa ja että hän oli tämän vuoksi osa-aikaisella sairaslomalla.

14
Lindqvist ei ollut ilmoittanut työtovereilleen näiden sivujen olemassaolosta tai pyytänyt heidän suostumustaan taikka ilmoittanut tästä Datainspektionille (automaattisessa tietojenkäsittelyssä välitettyjen tietojen suojaa valvova viranomainen). Hän poisti sivut heti, kun sai tietää tiettyjen työtoveriensa olevan niitä vastaan.

15
Yleinen syyttäjä nosti syytteen Lindqvistiä vastaan tietosuojalain rikkomisesta ja vaati, että hänen katsotaan syyllistyneen

─
henkilötietojen automaattiseen käsittelyyn ilman Datainspektionille tehtävää kirjallista ennakkoilmoitusta (henkilötietolain 36 §)

─
arkaluonteisten henkilötietojen automaattiseen käsittelyyn ilman asianomaisen henkilön suostumusta (henkilötietolain 13 §); näitä olivat tiedot, jotka koskivat jalan loukkaantumista ja osa-aikaista sairaslomaa

─
luvattomasti käsiteltyjen henkilötietojen siirtämiseen kolmansiin maihin (henkilötietolain 33 §).

16
Lindqvist on myöntänyt tosiseikat, mutta kiistänyt syyllistyneensä lainvastaiseen tekoon. Eksjö tingsrätt (Ruotsi) tuomitsi hänet sakkorangaistukseen, ja Lindqvist valitti tästä päätöksestä ennakkoratkaisupyynnön esittäneeseen tuomioistuimeen.

17
Sakko oli suuruudeltaan 4 000 Ruotsin kruunua (SEK). Hänelle oli määrätty hänen taloudellisen tilanteensa perusteella 100 SEK:n suuruinen päiväsakko, joka oli kerrottu teon vakavuuden vuoksi 40:llä. Tämän lisäksi Lindqvist oli velvoitettu suorittamaan 300 SEK rikosten uhrien tukemiseksi perustetulle rahastolle.

18
Göta hovrätt totesi olevansa epävarma asiassa sovellettavan yhteisön oikeuden ja erityisesti direktiivin 95/46/EY tulkinnasta ja päätti lykätä asian käsittelyä esittääkseen yhteisöjen tuomioistuimelle seuraavat ennakkoratkaisukysymykset:

1)
Onko henkilön mainitseminen ─ nimeltä tai nimeltä ja puhelinnumeron kanssa ─ niin sanotulla Internet-kotisivulla direktiivin [95/46/EY] soveltamisalaan kuuluvaa menettelyä? Onko se, että itse laaditulla Internet-kotisivulla esitellään henkilöitä sekä esitetään toteamuksia heidän työtehtävistään ja vapaa-ajan harrastuksistaan, osittain tai kokonaan automatisoitua tietojenkäsittelyä?

2)
Jos vastaus edelliseen kysymykseen on kieltävä, voidaanko menettelyn, jossa Internet-kotisivulla laaditaan noin 15 henkilön osalta erityiset sivut sivujen välisine linkkeineen, jotka mahdollistavat haun etunimen perusteella, katsoa olevan sellaisten henkilötietojen [muuta] käsittelyä, jotka muodostavat rekisterin osan tai joiden on tarkoitus muodostaa rekisterin osa 3 artiklan 1 kohdassa tarkoitetulla tavalla?

Jos vastaus jompaankumpaan kysymykseen on myöntävä, hovrätt esittää vielä seuraavat kysymykset:

3)
Voidaanko edellä kuvatunlaisen menettelyn, jossa tietoja työtovereista esitetään yksityisellä kotisivulla, johon on kuitenkin pääsy kaikilla kotisivun osoitteen tuntevilla, katsoa jäävän direktiivin [95/46/EY] soveltamisalan ulkopuolelle jonkin 3 artiklan 2 kohdassa mainitun poikkeuksen perusteella?

4)
Onko kotisivulla esitetty tieto siitä, että nimeltä mainittu työtoveri on loukannut jalkansa ja on osa-aikaisella sairaslomalla, sellainen terveyteen liittyvä henkilötieto, jota ei 8 artiklan 1 kohdan mukaan saa käsitellä?

5)
Direktiivin [95/46/EY] mukaan henkilötietojen siirto kolmansiin maihin on tietyissä tapauksissa kiellettävä. Jos henkilö Ruotsissa tietokoneen avulla laittaa henkilötietoja kotisivulle, joka on luotu palvelimelle Ruotsissa ─ jolloin henkilötiedot ovat kolmansien maiden kansalaisten käytettävissä ─, onko kyseessä direktiivissä [95/46/EY] tarkoitettu tietojen siirto kolmanteen maahan? Onko vastaus sama, vaikka kenenkään ei kolmannessa maassa tiedetä todellisuudessa tutustuneen tietoihin tai vaikka kyseinen palvelin sijaitsee fyysisesti kolmannessa maassa?

6)
Voidaanko direktiivin [95/46/EY] säännösten esillä olevan kaltaisessa tapauksessa katsoa merkitsevän rajoitusta, joka on vastoin yleistä sananvapauden periaatetta taikka muita Euroopan unionissa voimassa olevia vapauksia ja oikeuksia, joista määrätään muun muassa ihmisoikeuksien ja perusvapauksien suojaamiseksi tehdyn yleissopimuksen 10 artiklassa?

Hovrätt esittää lopuksi seuraavan kysymyksen:

7)
Voiko jäsenvaltiossa olla voimassa nyt esitetyissä kysymyksissä kuvatussa tilanteessa laajempi henkilötietosuoja tai voiko sen soveltamisala olla direktiivin [95/46/EY] soveltamisalaa laajempi, vaikka kysymys ei olisi yhdestäkään 13 artiklassa tarkoitetuista tapauksista?

Ensimmäinen kysymys

19
Kansallinen tuomioistuin pohtii ensimmäisessä kysymyksessään, onko sitä, että Internet-kotisivulla viitataan henkilöihin ja yksilöidään heidät joko nimeltä tai muulla tavoin, kuten ilmoittamalla heidän puhelinnumeronsa tai antamalla tietoja heidän työsuhteestaan ja harrastuksistaan, pidettävä direktiivin 95/46/EY 3 artiklan 1 kohdassa tarkoitettuna kokonaan tai osittain automatisoituna henkilötietojen käsittelynä.

Yhteisöjen tuomioistuimelle esitetyt huomautukset

20
Lindqvistin mukaan on kohtuutonta katsoa, että pelkkä henkilön nimen tai henkilötietojen mainitseminen Internet-sivulla olevassa tekstissä olisi automatisoitua tietojen käsittelyä. Tällaisten tietojen mainitseminen Internet-sivun meta-tageilla merkityissä hakusanoissa, joiden avulla sivu luetteloidaan ja joiden avulla hakukone löytää kyseisen sivun, voi sitä vastoin olla tällaista automatisoitua käsittelyä.

21
Ruotsin hallitus väittää, että osittain tai kokonaan automatisoitu tietojenkäsittely, jota direktiivin 95/46/EY 3 artiklan 1 kohdassa tarkoitetaan, sisältää kaiken automaattisen tietojenkäsittelyn, eli kaiken binäärimuodossa tapahtuvan käsittelyn. Näin ollen aina kun henkilötietoa käsitellään tietokoneella, olipa se sitten tekstinkäsittelyohjelmaa käytettäessä tai tiedon siirtämiseksi Internet-sivulle, kyse on Ruotsin hallituksen mukaan direktiivin 95/46/EY alaan kuuluva tietojen käsittely.

22
Alankomaiden hallitus esittää, että henkilötiedot laitetaan Internet-sivulle tietokoneen ja palvelimen avulla, mitä on pidettävä automatisoinnille olennaisena luonteenpiirteenä, ja näin ollen on katsottava, että tiedot ovat olleet automatisoidun käsittelyn kohteena.

23
Komissio väittää, että direktiiviä 95/46/EY sovelletaan kaikkeen sen 3 artiklassa tarkoitettuun henkilötietojen käsittelyyn käytetyistä teknisistä välineistä riippumatta. Se katsoo, että henkilötietojen luovuttamista Internetiin on siis pidettävä osittain tai kokonaan automatisoituna käsittelynä edellyttäen, ettei ole sellaisia teknisiä rajoituksia, jotka rajoittavat käsittelyn puhtaasti manuaaliseksi toimenpiteeksi. Internet-sivu kuuluu komission mukaan jo luonteensa puolesta direktiivin 95/46/EY soveltamisalaan.

Yhteisöjen tuomioistuimen vastaus

24
Direktiivin 95/46/EY 3 artiklan 1 kohdassa käytetty henkilötietojen käsite pitää sisällään direktiivin 2 artiklan a alakohdassa olevan määritelmän mukaisesti kaikenlaisia tunnistettua tai tunnistettavissa olevaa luonnollista henkilöä koskevia tietoja. Käsite kattaa varmasti henkilön nimen, joka on ilmoitettu yhdessä hänen puhelinyhteystietojensa tai hänen työsuhteensa tai harrastuksiensa kanssa.

25
Tällaisten tietojen käsittely, eli käsite, jota käytetään direktiivin 95/64/EY 3 artiklan 1 kohdassa, kattaa direktiivin 2 artiklan b alakohdassa olevan määritelmän mukaisesti kaikenlaiset sellaiset toiminnot tai toimintojen kokonaisuudet, joita kohdistetaan henkilötietoihin joko automaattisen tietojenkäsittelyn avulla tai ─ ─ muutoin. Tässä säännöksessä mainitaan useita esimerkkejä tällaisista toiminnoista, joihin kuuluu tietojen luovuttaminen siirtämällä, levittämällä tai asettamalla muutoin saataville. Tästä seuraa, että toimenpide, jolla henkilötiedot on laitettu Internet-sivulle, on tässä tarkoitettua käsittelyä.

26
Vielä on ratkaistava se, onko käsittely osittain tai kokonaan automatisoitua. Todettakoon tässä, että tietojen laittaminen Internet-sivulle edellyttää nykyisin käytettyjen teknisten ja tietojenkäsittelyllisten menetelmien mukaan sitä, että sivu ladataan palvelimelle sekä toimenpiteitä, joiden avulla sivu saadaan Internet-yhteyden omaavien henkilöiden saataville. Nämä toimenpiteet suoritetaan ainakin osittain automatisoidusti.

27
Ensimmäiseen kysymykseen on siis vastattava, että sitä, että Internet-kotisivulla viitataan henkilöihin ja yksilöidään heidät joko nimeltä tai muulla tavoin, kuten ilmoittamalla heidän puhelinnumeronsa tai antamalla tietoja heidän työsuhteestaan ja harrastuksistaan, on pidettävä direktiivin 95/46/EY 3 artiklan 1 kohdassa tarkoitettuna kokonaan tai osittain automatisoituna henkilötietojen käsittelynä.

Toinen kysymys

28
Toiseen kysymykseen ei tarvitse vastata, koska ensimmäiseen kysymykseen on vastattu myöntävästi ja koska toinen kysymys oli esitetty vain siltä varalta, että ensimmäiseen kysymykseen vastattaisiin kieltävästi.

Kolmas kysymys

29
Kansallisen tuomioistuimen kolmas kysymys koskee sitä, kuuluuko ensimmäisessä kysymyksessä tarkoitettu henkilötietojen käsittely jonkin direktiivin 3 artiklan 2 kohdassa tarkoitetun poikkeuksen alaan.

Yhteisöjen tuomioistuimelle esitetyt huomautukset

30
Lindqvist väittää, että yksityinen henkilö, joka käyttäen sananvapauttaan luo Internet-sivun sellaisen toiminnan, jolla ei tavoitella voittoa, tai vapaa-aikanaan, ei harjoita elinkeinotoimintaa ja jää näin yhteisön oikeuden soveltamisalan ulkopuolelle. Jos yhteisöjen tuomioistuin päätyisi tuomiossaan vastakkaiseen ratkaisuun, olisi pohdittava direktiivin 95/46/EY pätevyyttä, sillä sitä antaessaan yhteisöjen lainsäätäjä olisi tässä tapauksessa ylittänyt EY:n perustamissopimuksen 100 a artiklassa (josta on muutettuna tullut EY 95 artikla) tarkoitetun toimivaltansa. Lainsäädännön lähentäminen, jonka tavoitteena on ollut sisämarkkinoiden perustaminen ja niiden toiminta, ei voi olla oikeudellisena perustana sellaisille yhteisön toimille, joilla säännellään yksityisten henkilöiden sananvapautta Internetissä.

31
Ruotsin hallitus väittää, että kun direktiivi 95/46/EY saatettiin osaksi Ruotsin kansallista oikeusjärjestystä, Ruotsin lainsäätäjä katsoi, että henkilötietojen käsittelyä luonnollisen henkilön toimesta siten, että hän siirtää tietoja määrittelemättömälle joukolle vastaanottajia esimerkiksi Internetin välityksellä ei voida pitää direktiivin 95/46/EY 3 artiklan 2 kohdan toisessa luetelmakohdassa tarkoitettuna, yksinomaan henkilökohtaisena tai henkilön kotitaloutta koskevana toimintana. Ruotsin hallitus ei kuitenkaan sulje pois sitä, että tämän kohdan ensimmäisessä luetelmakohdassa säädetty poikkeus koskee niitä tapauksia, joissa luonnollinen henkilö julkaisee henkilötietoja Internet-sivulla yksinomaan sananvapauttaan käyttäessään ja ilman, että kyse olisi millään tavoin ammatillisesta tai kaupallisesta toiminnasta.

32
Alankomaiden hallituksen mukaan pääasiassa kyseessä oleva automatisoitu tietojen käsittely ei kuulu direktiivin 95/46/EY 3 artiklan 2 kohdassa tarkoitettujen poikkeusten alaan. Erityisesti tämän kohdan toisessa luetelmakohdassa säädetyn poikkeuksen osalta se toteaa, että Internet-sivun perustaja saattaa sivulle laitetut tiedot sellaisen henkilöjoukon saataville, jota ei lähtökohtaisesti ole ennalta määritelty.

33
Komissio esittää, että pääasiassa kyseessä olevan kaltaisen Internet-sivun ei voida katsoa jäävän direktiivin 95/46/EY soveltamisalan ulkopuolelle sen 3 artiklan 2 kohdan nojalla, vaan että sitä on pidettävä kyseisen sivun tarkoitus huomioon ottaen direktiivin 9 artiklassa tarkoitettuna taiteellisena tai kirjallisena teoksena.

34
Se katsoo, että direktiivin 95/46/EY 3 artiklan 2 kohdan ensimmäistä luetelmakohtaa voidaan tulkita kahdella eri tavalla. Ensiksikin siten, että sillä rajoitetaan säännöksen alaa esimerkkeinä lueteltuihin alueisiin, eli toimintoihin, jotka kuuluvat lähinnä toisen ja kolmannen pylvään alaan. Toinen tulkinta puolestaan olisi se, että direktiivin 95/46/EY soveltamisalan ulkopuolelle jää kaikki toiminta, jota ei säännellä yhteisön oikeudessa.

35
Komissio väittää, että yhteisön oikeus ei koske pelkästään neljään perusvapauteen liittyvää taloudellista toimintaa. Direktiivin 95/46/EY oikeudelliseen perustaan, sen tarkoitukseen, EU 6 artiklaan, Nizzassa 18.12.2000 julistettuun Euroopan unionin perusoikeusasiakirjaan (EYVL C 364, s. 1) ja yksilöiden suojelusta henkilötietojen automaattisessa tietojenkäsittelyssä 28.1.1981 tehtyyn Euroopan neuvoston yleissopimukseen tukeutuen komissio esittää, että direktiivillä pyritään sääntelemään henkilötietojen vapaata liikkuvuutta niin taloudellisena kuin yhteiskunnallisenakin toimintana yhdentymisen ja sisämarkkinoiden toiminnan yhteydessä.

36
Se lisää, että sellaisten Internet-sivujen, jotka eivät sisällä lainkaan kaupallisia tai palvelujen tarjoamiseen liittyviä osia, sulkeminen yleisesti direktiivin 95/46/EY soveltamisalan ulkopuolelle voisi johtaa vaikeisiin rajaamisongelmiin. Suuri osa Internet-sivuista, jotka sisältävät henkilötietoja ja joiden tarkoituksena on erottaa tietyt henkilöt määrättyjä erityisiä tarkoituksia varten, voisivat näin joutua direktiivin soveltamisalan ulkopuolelle.

Yhteisöjen tuomioistuimen vastaus

37
Direktiivin 95/46/EY 3 artiklan 2 kohdassa säädetään kahdesta direktiivin soveltamisalaa koskevasta poikkeuksesta.

38
Ensimmäinen poikkeus koskee henkilötietojen käsittelyä, joka suoritetaan sellaisessa toiminnassa, joka ei kuulu yhteisön oikeuden soveltamisalaan, kuten toiminta, josta on määrätty Euroopan unionista tehdyn sopimuksen V ja VI osastossa, ja kaikissa tapauksissa käsittely, joka koskee yleistä turvallisuutta, puolustusta, valtion turvallisuutta (myös valtion taloudellista hyvinvointia, kun käsittelyoperaatio on sidoksissa valtion turvallisuutta koskeviin kysymyksiin) ja rikosoikeuden alalla tapahtuvaa valtion toimintaa.

39
Lindqvistin toimet, jotka pääasiassa on asetettu kyseenalaisiksi, ovat pääasiallisesti vapaaehtoistyöhön ja uskonnolliseen eivätkä olennaisesti taloudelliseen toimintaan liittyviä, minkä vuoksi on selvitettävä, onko niitä pidettävä direktiivin 95/46/EY 3 artiklan 2 kohdan ensimmäisessä luetelmakohdassa tarkoitettuna henkilötietojen käsittelynä, joka suoritetaan sellaisessa toiminnassa, joka ei kuulu yhteisön oikeuden soveltamisalaan.

40
Yhteisöjen tuomioistuin on todennut perustamissopimuksen 100 a artiklaan perustuvan direktiivin 95/46/EY osalta, että tämän oikeudellisen perustan käyttäminen ei edellytä sitä, että kaikilla siihen perustuvassa toimenpiteessä tarkoitetuilla tilanteilla olisi tosiasiallinen liittymä vapaaseen liikkuvuuteen jäsenvaltioiden välillä (ks. yhdistetyt asiat C-465/00, C-138/01 ja C-139/01, Österreichischer Rundfunk ym., tuomio 20.5.2003, ei vielä julkaistu oikeustapauskokoelmassa, tuomion 41 kohta oikeuskäytäntöviittauksineen).

41
Päinvastaisella tulkinnalla saatettaisiin aiheuttaa se, että kyseisen direktiivin soveltamisalan rajat kävisivät erityisen epävarmoiksi ja epäselviksi, mikä olisi ristiriidassa direktiivin oleellisen tavoitteen kanssa, joka on jäsenvaltioiden lakien, asetusten ja hallinnollisten määräysten lähentäminen kansallisten lainsäädäntöjen erilaisuudesta aiheutuvien sisämarkkinoiden toiminnan esteiden poistamiseksi (ks. em. asia Österreichischer Rundfunk ym., tuomion 42 kohta).

42
Näin ollen ei olisi asianmukaista tulkita ilmaisua toiminta, joka ei kuulu yhteisön oikeuden soveltamisalaan, siten, että tapauskohtaisesti olisi tarpeen selvittää, vaikuttaako kyseessä oleva toiminta suoraan vapaaseen liikkuvuuteen jäsenvaltioiden välillä.

43
Direktiivin 95/46/EY 3 artiklan 2 kohdan ensimmäisessä luetelmakohdassa mainitut toiminnat (toiminta, josta on määrätty Euroopan unionista tehdyn sopimuksen V ja VI osastossa, sekä käsittely, joka koskee yleistä turvallisuutta, puolustusta, valtion turvallisuutta ja rikosoikeuden alalla tapahtuvaa valtion toimintaa) ovat kaikki valtiolle tai valtion viranomaisille tyypillisiä toimintoja, jotka eivät liity yksityisten henkilöiden toiminta-aloihin.

44
On siis katsottava, että direktiivin 95/46/EY 3 artiklan 2 kohdan ensimmäisessä luetelmakohdassa esimerkkeinä mainitut toiminnat on tarkoitettu rajaamaan tässä säännöksessä säädetyn poikkeuksen soveltamisalaa niin, että poikkeusta sovelletaan vain toimintaan, joka siinä on nimenomaisesti mainittu tai jonka voidaan katsoa kuuluvan samaan ryhmään (eiusdem generis; samanlajisuusperiaate).

45
Vapaaehtoinen tai uskonnollinen toiminta, jollaista Lindqvist harjoittaa, ei kuitenkaan ole rinnastettavissa direktiivin 95/46/EY 3 artiklan 2 kohdan ensimmäisessä luetelmakohdassa mainittuihin toimintoihin eikä se näin kuulu tämän poikkeuksen alaan.

46
Direktiivin 95/46/EY 3 artiklan 2 kohdan toisessa luetelmakohdassa säädetyn poikkeuksen osalta direktiivin 12 perustelukappaleessa, joka koskee tätä poikkeusta, mainitaan esimerkkeinä luonnollisen henkilön suorittama tietojenkäsittely yksinomaan yksityisissä tai henkilökohtaisissa asioissa, kuten kirjeenvaihto tai osoitteiston pitäminen.

47
Tätä poikkeusta on siis tulkittava niin, että se kohdistuu ainoastaan toimintaan, joka kuuluu yksityisen henkilön yksityis- tai perhe-elämään, mistä ei ilmeisestikään ole kysymys sellaisessa henkilötietojen käsittelyssä, jossa tiedot julkaistaan Internet-sivulla siten, että ne saatetaan ennalta määrittelemättömän henkilöryhmän saataville.

48
Kolmanteen kysymykseen on siis vastattava, että ensimmäisessä kysymyksessä mainitun kaltainen henkilötietojen käsittely ei kuulu minkään direktiivin 95/46/EY 3 artiklan 2 kohdassa säädetyn poikkeuksen alaan.

Neljäs kysymys

49
Ennakkoratkaisupyynnön esittäneen tuomioistuimen neljäs kysymys koskee sitä, onko sen mainitsemista, että henkilö on loukannut jalkansa ja on osa-aikaisella sairaslomalla, pidettävä direktiivin 8 artiklan 1 kohdassa tarkoitettuna terveyteen liittyvänä henkilötietona.

50
Direktiivin tarkoitus huomioon ottaen sen 8 artiklan 1 kohdassa käytettyä ilmaisua terveyteen liittyvät tiedot on tulkittava sillä tavoin laajasti, että se käsittää kaikki niin fyysiset kuin psyykkisetkin henkilön terveyteen liittyvät tekijät.

51
Neljänteen kysymykseen on siis vastattava, että mainintaa siitä, että henkilö on loukannut jalkansa ja on osa-aikaisella sairaslomalla, on pidettävä direktiivin 95/46/EY 8 artiklan 1 kohdassa tarkoitettuna terveyteen liittyvänä henkilötietona.

Viides kysymys

52
Ennakkoratkaisupyynnön esittänyt tuomioistuin pyrkii viidennellä kysymyksellään selvittämään, onko kyse direktiivin 95/46/EY 25 artiklassa tarkoitetusta henkilötietojen siirrosta kolmansiin maihin silloin, kun tietyssä jäsenvaltiossa oleva henkilö laittaa henkilötietoja Internet-sivulle, joka on tallennettu sellaisen luonnollisen tai oikeushenkilön palvelimelle, joka säilyttää sitä Internet-sivustoa, jolta kyseistä sivua voidaan lukea (hosting-palvelujen tarjoaja) ja joka toimii samassa tai jossakin toisessa jäsenvaltiossa, saattaen tiedot näin kaikkien sellaisten henkilöiden saataville, jotka kytkeytyvät Internetiin, kolmansissa maissa olevat henkilöt mukaan lukien. Tämä tuomioistuin kysyy lisäksi, olisiko vastaus tähän kysymykseen sama siinä tapauksessa, että todellisuudessa yksikään kolmannen maan kansalainen ei ole saanut näitä tietoja, tai että palvelin, jolle sivu on tallennettu, on fyysisesti kolmannessa maassa.

Yhteisöjen tuomioistuimelle esitetyt huomautukset

53
Komissio ja Ruotsin hallitus katsovat, että henkilötietojen laittaminen tietokoneella Internet-sivulle siten, että ne tulevat näin kolmansien maiden kansalaisten saataville, on direktiivissä 95/46/EY tarkoitettua henkilötietojen siirtämistä. Vastaus olisi niiden mukaan sama, vaikka yksikään kolmannen maan kansalainen ei olisi todellisuudessa saanut näitä tietoja tai palvelin, jolle ne on tallennettu, olisi fyysisesti kolmannessa maassa.

54
Alankomaiden hallitus viittaa siihen, että siirron käsitettä ei ole määritelty direktiivissä 95/46/EY. Se katsoo, että käsite on ymmärrettävä siten, että se koskee toimia, joilla tarkoituksellisesti pyritään siirtämään henkilötietoja jäsenvaltion alueelta kolmannen maan alueelle, ja että merkitystä ei ole sillä, minkälaisissa eri muodoissa tiedot on saatettu kolmansien saataville. Se katsoo tällä perusteella, että henkilötietojen laittamista Internet-sivulle tietokoneella ei voida pitää direktiivin 95/46/EY 25 artiklassa tarkoitettuna henkilötietojen siirtämisenä kolmanteen maahan.

55
Yhdistyneen kuningaskunnan hallitus esittää, että direktiivin 95/46/EY 25 artikla koskee tietojen siirtämistä kolmansiin maihin eikä niiden saatavilla oloa kolmansissa maissa. Siirron käsite sisältää sen mukaan sitä, että henkilö välittää henkilötiedon määrätystä paikasta kolmannelle henkilölle, joka on jossakin toisessa paikassa. Vain tällaisen siirron ollessa kyseessä direktiivin 95/46/EY 25 artikla velvoittaa jäsenvaltiot varmistumaan siitä, että henkilötiedot on asianmukaisesti suojattu kolmannessa maassa.

Yhteisöjen tuomioistuimen vastaus

56
Direktiivin 95/46/EY 25 artiklassa eikä sen missään muussakaan, varsinkaan sen 2 artiklassa, ei määritellä käsitettä siirto kolmansiin maihin.

57
Sen ratkaisemiseksi, onko henkilötietojen laittaminen Internet-sivulle direktiivin 95/46/EY 25 artiklassa tarkoitettua henkilötietojen siirtoa kolmanteen maahan ainoastaan siksi, että ne tulevat sivulla kolmansissa maissa olevien henkilöiden saataville, on otettava yhtäältä huomioon näin suoritettujen toimenpiteiden tekninen luonne ja toisaalta direktiivin IV luvun, jossa sen 25 artikla on, tavoite ja yleinen systematiikka.

58
Internetissä oleviin tietoihin voi tutustua ennalta määrittelemätön joukko ihmisiä, jotka asuvat useissa eri paikoissa, ja melkein milloin tahansa. Tietojen sijainnin universaalisuus johtuu ennen kaikkea siitä, että Internetin käyttäminen edellyttää suhteellisen yksinkertaisia teknisiä välineitä, jotka tulevat koko ajan edullisemmiksi.

59
Internetiä käytettäessä niillä käyttötavoilla, jotka ovat tulleet yksityisten henkilöiden, kuten Lindqvistin, saataville 1990-luvulla, Internetissä julkaistavaksi tarkoitetun sivun laatija välittää tiedot, joista sivu muodostuu, hosting-palvelujen tarjoajalle. Tämä hoitaa tietojen tallentamisen ja Internet-kotisivun majoittavan palvelimen kytkennän edellyttämää infrastruktuuria. Sen avulla tiedot voidaan välittää kaikille henkilöille, jotka ovat kytkeytyneet Internetiin ja pyytävät saada tiedot. Tietokoneet, joista tämä tietojenkäsittelyllinen infrastruktuuri muodostuu, voivat sijaita ja usein sijaitsevatkin yhdessä tai useammassa muussa maassa kuin siinä, jossa hosting-palvelujen tarjoaja toimii ilman, että sen asiakkaat tietävät tai voisivat kohtuullisella vaivalla saada tietää siitä.

60
Asiakirja-aineistosta käy ilmi, että Internetin käyttäjän, joka haluaa saada tiedot Internet-sivuista, joille Lindqvist oli laittanut työtovereitaan koskevia tietoja, on kytkeydyttävä ensin Internetiin ja suoritettava tämän jälkeen omatoimisesti sivujen lukemisen edellyttämät toimet. Toisin sanoen Lindqvistin Internet-sivuilla ei ollut sellaisia teknisiä välineitä, joiden avulla tiedot olisi voitu automaattisesti lähettää henkilöille, jotka eivät ole tarkoituksellisesti pyrkineet hakeutumaan näille sivuille.

61
Tästä seuraa, että pääasiassa vallitsevan kaltaisissa olosuhteissa henkilötietoja, jotka saapuvat henkilön tietokoneelle kolmannessa maassa henkilöltä, joka on ne ladannut Internet-kotisivulle, ei ole siirretty suoraan näiden kahden henkilön välillä vaan sen hosting-palvelujen tarjoajan tietojenkäsittelyllisen infrastruktuurin välityksellä, jonne kotisivu on tallennettu.

62
Tässä yhteydessä on selvitettävä se, oliko yhteisön lainsäätäjän tarkoituksena, direktiivin 95/46/EY IV lukua sovellettaessa, sisällyttää tämän direktiivin 25 artiklassa tarkoitetun käsitteen henkilötietojen siirto kolmansiin maihin alaan Lindqvistin suorittamien toimien kaltaiset toimet. On huomattava, että ennakkoratkaisupyynnön esittäneen tuomioistuimen viides kysymys koskee ainoastaan näitä toimia eikä lainkaan toimia, joita hosting-palvelujen tarjoajat suorittavat.

63
Direktiivin 95/46/EY IV luvussa, jossa sen 25 artikla on, perustetaan erityinen järjestelmä erityisine sääntöineen, jonka tarkoituksena on turvata se, että jäsenvaltiot kykenevät valvomaan henkilötietojen siirtämistä kolmansiin maihin. Tässä luvussa otetaan käyttöön järjestelmä, joka täydentää henkilötietojen käsittelyn laillisuutta koskevassa direktiivin II luvussa perustettua yleistä järjestelmää.

64
Direktiivin 95/46/EY IV luvun tavoite on määritelty direktiivin 56─60 perustelukappaleessa, joissa todetaan muun muassa, että vaikka yhteisössä tällä direktiivillä taattava yksilöiden tietosuoja ei estä henkilötietojen siirtoa kolmansiin maihin, jotka voivat turvata tietosuojan riittävän tason, tätä riittävyyttä on arvioitava kaikki siirtoa tai siirtojen sarjaa koskevat olosuhteet huomioon ottaen. Jos tietosuojan taso kolmannessa maassa ei ole riittävä, henkilötietojen siirto kyseiseen maahan on kiellettävä.

65
Direktiivin 95/46/EY 25 artiklassa asetetaan jäsenvaltioille ja komissiolle velvoitteita, joilla pyritään valvomaan henkilötietojen siirtoa kolmansiin maihin ottaen huomioon kussakin tällaisessa maassa voimassa oleva tietosuoja.

66
Direktiivin 95/46/EY 25 artiklan 4 kohdassa säädetään erityisesti, että jos komissio toteaa, että tietyssä kolmannessa maassa ei taata tietosuojan riittävää tasoa, jäsenvaltioiden on toteutettava tarvittavat toimenpiteet, jotta estettäisiin henkilötietojen siirrot kyseiseen kolmanteen maahan.

67
Direktiivin 95/46/EY IV luvussa ei ole lainkaan säännöksiä Internetin käytöstä. Siinä ei varsinkaan täsmennetä niitä perusteita, joiden mukaan voidaan valita hosting-palvelujen tarjoajan välityksellä suoritettujen toimenpiteiden osalta se, onko ratkaisu perustettava palveluntarjoajan sijoittautumis- vai toimipaikkaan vai paikkaan, jossa palveluntarjoajan tietojenkäsittelyllisen infrastruktuurin muodostavat tietokoneet sijaitsevat.

68
Kun otetaan huomioon Internetin kehitysaste silloin, kun direktiiviä 95/46/EY laadittiin, sekä se, että sen IV luvussa ei ole Internetin käyttöön soveltuvia kriteereitä, ei voida olettaa yhteisöjen lainsäätäjän aikoneen tulevaisuuden varalta sisällyttää käsitteeseen henkilötietojen siirto kolmansiin maihin tilannetta, jossa Lindqvistin asemassa oleva henkilö laittaa henkilötietoja Internet-sivulle, vaikka tiedot saatetaankin tällä tavoin sellaisten kolmansissa maissa olevien henkilöiden saataville, joilla on tähän tarvittavat tekniset välineet.

69
Jos direktiivin 95/46/EY 25 artiklaa tulkittaisiin siten, että kyse on henkilötietojen siirrosta kolmanteen maahan aina kun henkilötietoja ladataan Internet-sivulle, kyse olisi välttämättä siirrosta kaikkiin sellaisiin kolmansiin maihin, joissa on Internetiin pääsyn edellyttämät tekniset välineet. Direktiivin IV luvussa säädetty erityinen järjestelmä muuttuisi näin välttämättä Internetissä suoritettujen toimenpiteiden osalta soveltamisalaltaan yleiseksi järjestelmäksi. Kun komissio toteaisi direktiivin 95/46/EY 25 artiklan 4 kohdan mukaisesti, että jo yhdessä kolmannessa maassa ei kyetä turvaamaan riittävää tietosuojaa, jäsenvaltioilla olisi nimittäin heti velvollisuus estää kaikki henkilötietojen laittaminen Internetiin.

70
Näin ollen direktiivin 95/46/EY 25 artiklaa on tulkittava siten, että Lindqvistin suorittamien toimenpiteiden kaltaisia toimenpiteitä ei ole sellaisenaan pidettävä henkilötietojen siirtona kolmanteen maahan. Ei siten ole tarpeen selvittää, onko kolmannessa maassa asuva henkilö päässyt kyseessä olevalle Internet-sivulle tai sijaitseeko palveluntarjoajan palvelin fyysisesti kolmannessa maassa.

71
Viidenteen kysymykseen on siis vastattava, että direktiivin 95/46/EY 25 artiklassa tarkoitetusta henkilötietojen siirrosta kolmansiin maihin ei ole kyse silloin, kun tietyssä jäsenvaltiossa oleva henkilö laittaa henkilötietoja Internet-sivulle, joka on tallennettu hosting-palvelujen tarjoajan palvelimelle, joka toimii samassa tai jossakin toisessa jäsenvaltiossa, saattaen tiedot näin kaikkien sellaisten henkilöiden saataville, jotka kytkeytyvät Internetiin, kolmansissa maissa olevat henkilöt mukaan lukien.

Kuudes kysymys

72
Ennakkoratkaisupyynnön esittäneen tuomioistuimen kuudes kysymys koskee sitä, onko direktiivin 95/46/EY säännösten katsottava sisältävän pääasiassa kyseessä olevan kaltaisessa tapauksessa sananvapautta koskevan yleisen periaatteen tai muiden, erityisesti Euroopan ihmisoikeussopimuksen 10 artiklassa tarkoitettua oikeutta vastaavien Euroopan unionissa voimassa olevien oikeuksien ja vapauksien, vastaisia rajoituksia.

Yhteisöjen tuomioistuimelle esitetyt huomautukset

73
Lindqvist viittaa muun muassa asiassa C-274/99 P, Connolly vastaan komissio, 6.3.2001 annettuun tuomioon (Kok. 2001, s. I-1611) ja toteaa, että direktiivi 95/46/EY ja henkilötietolaki ovat yhteisön oikeudessa tunnustetun sananvapauden yleisen periaatteen vastaisia, siltä osin kuin niissä säädetään etukäteen hankittavasta suostumuksesta ja valvontaviranomaiselle tehtävästä ennakkoilmoituksesta sekä periaatteesta, jonka mukaan arkaluonteisten henkilötietojen käsittely on kiellettyä. Lisäksi hän väittää, että kokonaan tai osittain automatisoidun henkilötietojen käsittelyn käsite ei täytä ennakoitavuuden ja täsmällisyyden vaatimuksia.

74
Lisäksi Lindqvistin mukaan pelkästään sitä, että luonnollinen henkilö mainitaan nimeltä, että hänen puhelinyhteystietonsa ja toimenkuvansa ilmoitetaan ja annetaan tietoja hänen terveydentilastaan ja harrastuksistaan, eli tietoja, jotka hänen mielestään ovat julkisia, yleisesti tunnettuja tai täysin triviaaleja, ei voida pitää olennaisena yksityiselämän suojan loukkaamisena. Lindqvist katsoo, että tästä riippumatta direktiivissä 95/46/EY asetetut rajoitukset ovat suhteettomia yksityishenkilöiden maineen ja yksityiselämän suojan tavoitteeseen nähden, johon direktiivillä pyritään.

75
Ruotsin hallitus katsoo, että direktiivin 95/46/EY mukaan kyseessä olevat intressit voidaan saattaa tasapainoon ja turvata näin sekä sananvapaus että yksityiselämän suoja. Sen mukaan vain kansallinen tuomioistuin voi kussakin yksittäisessä tapauksessa vallitsevat olosuhteet huomioon ottaen arvioida sitä, ovatko muiden henkilöiden nauttimien oikeuksien suojaa koskevien sääntöjen soveltamisesta johtuvat rajoitukset oikeassa suhteessa sananvapauden käyttämiseen nähden.

76
Alankomaiden hallitus huomauttaa, että sekä sananvapaus että yksityiselämän suoja kuuluvat niihin yleisiin oikeusperiaatteisiin, joiden noudattamisesta yhteisöjen tuomioistuin vastaa, ja että ihmisoikeussopimuksessa ei eri perusoikeuksia ole asetettu hierarkkiseen arvojärjestykseen. Se katsoo tämän vuoksi, että kansallisen tuomioistuimen on pyrittävä sovittamaan yhteen kyseessä olevat eri perusoikeudet esillä olevassa asiassa vallitsevat olosuhteet huomioon ottaen.

77
Yhdistyneen kuningaskunnan hallitus huomauttaa, että sen ehdotus vastaukseksi viidenteen kysymykseen, joka on esitetty tämän tuomion 55 kohdassa, on täysin perusoikeuksien suojan mukainen ja että sen ehdotuksen avulla voidaan välttää puuttuminen sananvapauteen suhteettoman laajasti. Tulkinta, joka johtaisi siihen, että henkilötietojen julkaiseminen tietyssä muodossa eli Internet-sivulla joutuisi huomattavasti ankarampien rajoitusten kohteeksi kuin ne, joita sovelletaan muissa julkaisumuodoissa, kuten paperilla, toteutettuihin julkaisuihin, olisi vaikeasti perusteltavissa.

78
Komissio väittää myös, että direktiivi 95/46/EY ei johda sananvapauden tai muiden, erityisesti ihmisoikeussopimuksen 10 artiklassa tarkoitettuja vapauksia vastaavien Euroopan unionissa voimassa olevien oikeuksien tai vapauksien vastaisiin rajoituksiin.

Yhteisöjen tuomioistuimen vastaus

79
Direktiivin 95/46/EY 7 perustelukappaleesta käy ilmi, että sisämarkkinoiden luominen ja toiminta voi vakavasti vaikeutua henkilötietojen käsittelyä koskevien kansallisten järjestelmien välisten erojen vuoksi. Direktiivin 3 perustelukappaleen mukaan kansallisten järjestelmien yhdenmukaistamisen tavoitteena ei ole pelkästään henkilötietojen vapaa liikkuvuus jäsenvaltioiden välillä vaan myös henkilöiden perusoikeuksien turvaaminen. Nämä tavoitteet voivat tietenkin olla ristiriidassa toistensa kanssa.

80
Yhtäältä sisämarkkinoiden toteuttamisesta ja toiminnasta aiheutuva taloudellinen ja sosiaalinen yhdentyminen johtaa välttämättä henkilötietojen siirron tuntuvaan kasvuun kaikessa jäsenvaltioiden taloudellisessa ja sosiaalisessa toiminnassa niin yritysten kuin jäsenvaltioiden viranomaistoiminnassakin. Tällaisessa toiminnassa olevilla toimijoilla on tietyssä määrin tarve käyttää henkilötietoja liiketoimiensa toteuttamiseksi tai tehtäviensä suorittamiseksi sisämarkkinoiden muodostamalla alueella, jolla ei ole sisäisiä rajoja.

81
Toisaalta henkilöt, joita henkilötietojen käsittely koskee, vaativat perustellusti, että tiedot suojataan tehokkaasti.

82
Näiden eri oikeuksien ja intressien välisen tasapainon turvaamiseksi käytettävät mekanismit löytyvät itse direktiivistä 95/46/EY, kun siinä säädetään säännöistä, joiden perusteella ratkaistaan, missä tilanteissa ja missä määrin henkilötietojen käsittely on lainmukaista ja minkälaisia turvatakeita on oltava olemassa. Toisaalta mekanismit perustuvat jäsenvaltioiden antamiin kansallisiin säännöksiin, joilla direktiivi on pantu täytäntöön, ja siihen, että kansalliset viranomaiset soveltavat niitä.

83
Direktiivin 95/46/EY osalta todettakoon, että sen säännökset ovat välttämättä suhteellisen yleisiä, koska sitä on voitava soveltaa suureen määrään hyvin erilaisia tilanteita. Lindqvistin väitteistä poiketen direktiivissä on täysin perustellusti sääntöjä, jotka ovat luonteeltaan joustavia, ja siinä jätetään jäsenvaltioille useissa tapauksissa valta määrätä yksityiskohdista tai valita eri vaihtoehtojen välillä.

84
Jäsenvaltioilla on monessa suhteessa ollut käytettävissään harkintavaltaa direktiivin 95/46/EY täytäntöön panemiseksi. Ei kuitenkaan ole mitään syytä katsoa, että direktiivillä perustettu järjestelmä ei olisi ennakoitavissa tai että sen säännökset olisivat sellaisenaan yhteisön oikeuden yleisten periaatteiden ja erityisesti yhteisön oikeusjärjestyksessä suojattujen perusoikeuksien vastaisia.

85
Kyseessä olevien oikeuksien ja intressien välinen asianmukainen tasapaino onkin toteutettava pikemminkin toteutettaessa kansallisella tasolla sitä kansallista sääntelyä, jolla direktiivi 95/46/EY pannaan täytäntöön.

86
Tässä yhteydessä perusoikeuksilla on erityinen merkitys, kuten voidaan havaita esillä olevasta asiasta, jossa tasapaino on löydettävä yhtäältä Lindqvistin sananvapauden, jota hän on käyttänyt työssään rippikoululaisten ohjaajana, ja vapauden osallistua uskonnolliseen toimintaan ja toisaalta niiden henkilöiden yksityiselämän suojan välillä, joita koskevia tietoja Lindqvist oli laittanut Internet-sivulleen.

87
On siis jäsenvaltioiden tuomioistuinten tehtävänä tulkita kansallista oikeuttaan direktiivin 95/46/EY mukaisesti, minkä lisäksi niiden on varottava perustamasta arviointiaan sellaiseen direktiivin tulkintaan, joka johtaisi ristiriitaan yhteisön oikeusjärjestyksessä suojattujen perusoikeuksien kanssa tai muiden yhteisön oikeuden yleisten periaatteiden, kuten suhteellisuusperiaatteen, kanssa.

88
Vaikka yksityiselämän suoja edellyttää tehokkaiden sanktioiden soveltamista sellaisia henkilöitä kohtaan, jotka käsittelevät henkilötietoja direktiivin 95/46/EY vastaisesti, on tällaisilla sanktioilla aina noudatettava suhteellisuusperiaatetta. Näin on erityisesti siksi, että direktiivin 95/46/EY soveltamisala on erittäin laaja ja henkilötietojen käsittelyä suorittaville henkilöille asetetut velvollisuudet ovat lukuisia ja huomattavia.

89
Suhteellisuusperiaatteen mukaan ennakkoratkaisupyynnön esittäneen tuomioistuimen on otettava huomioon kaikki sen käsiteltävässä asiassa vallitsevat olosuhteet, muun muassa se, kuinka kauan direktiivin 95/46/EY täytäntöönpanevia säännöksiä on rikottu sekä se, mikä merkitys julkaistujen tietojen suojaamisella on asianomaisille henkilöille.

90
Kuudenteen kysymykseen on siis vastattava, että direktiivin 95/46/EY säännökset eivät sellaisenaan sisällä sananvapautta koskevan yleisen periaatteen tai muiden, erityisesti Euroopan ihmisoikeussopimuksen 10 artiklaa vastaavien Euroopan unionissa voimassa olevien oikeuksien ja vapauksien vastaisia rajoituksia. Direktiivin 95/46/EY täytäntöönpanevan kansallisen sääntelyn soveltamisesta vastaavien kansallisten viranomaisten ja tuomioistuinten tehtävänä on taata kyseessä olevien oikeuksien ja intressien, yhteisön oikeusjärjestyksessä suojatut perusoikeudet mukaan lukien, välinen asianmukainen tasapaino.

Seitsemäs kysymys

91
Kansallisen tuomioistuimen seitsemäs kysymys koskee sitä, voivatko jäsenvaltiot säätää direktiiviä 95/46/EY vahvemmasta henkilötietojen tietosuojasta tai suojan laajemmasta soveltamisalasta.

Yhteisöjen tuomioistuimelle esitetyt huomautukset

92
Ruotsin hallitus toteaa, että direktiivillä 95/46/EY ei vahvisteta pelkästään henkilötietojen vähimmäissuojaa. Jäsenvaltiot ovat Ruotsin hallituksen mukaan velvollisia direktiivin täytäntöönpanon yhteydessä toteuttamaan direktiivissä vahvistetun tasoisen suojan eikä niillä ole oikeutta säätää vahvemmasta tai heikommasta suojasta. Sen mukaan on kuitenkin otettava huomioon jäsenvaltioilla oleva harkintavalta direktiivin täytäntöönpanossa, kun ne täsmentävät kansallisessa oikeudessaan yleiset lainmukaisuusedellytykset henkilötietojen käsittelyn osalta.

93
Alankomaiden hallitus väittää, että direktiivi 95/46/EY ei estä sitä, että jäsenvaltiot säätävät tietyillä aloilla vahvemmasta suojasta. Sen mukaan direktiivin 10 artiklasta, 11 artiklan 1 kohdasta, 14 artiklan ensimmäisen kohdan a alakohdasta, 17 artiklan 3 kohdasta, 18 artiklan 5 kohdasta ja 19 artiklan 1 kohdasta käy ilmi, että jäsenvaltiot voivat säätää laajemmasta suojasta. Jäsenvaltiot voivat lisäksi vapaasti soveltaa direktiivin 95/46/EY periaatteita toimintaan, joka ei kuulu direktiivin soveltamisalaan.

94
Komissio katsoo, että direktiivi 95/46/EY perustuu perustamissopimuksen 100 a artiklaan, ja jos jäsenvaltio haluaa pitää voimassa tai ottaa käyttöön lainsäädännön, joka poikkeaa tällaisesta lainsäädäntöjen yhdenmukaistamista koskevasta direktiivistä, sen on ilmoitettava tästä komissiolle EY 95 artiklan 4 tai 5 kohdan mukaisesti. Komissio väittää tämän vuoksi, että jäsenvaltio ei voi säätää laajemmasta henkilötietojen tietosuojasta tai sen laajemmasta soveltamisalasta kuin mitä direktiivissä säädetään.

Yhteisöjen tuomioistuimen vastaus

95
Direktiivillä 95/46/EY pyritään, kuten sen 8 perustelukappaleesta käy ilmi, saattamaan henkilöiden oikeuksien ja vapauksien suoja henkilötietojen käsittelyn osalta samalle tasolle kaikissa jäsenvaltioissa. Sen 10 perustelukappaleessa todetaan lisäksi, että sovellettavien kansallisten lainsäädäntöjen lähentäminen ei saa johtaa lainsäädännöllä turvattavan tietosuojan heikentymiseen, vaan sillä on päinvastoin varmistettava tietosuojan korkea taso yhteisössä.

96
Näiden kansallisten lainsäädäntöjen yhdenmukaistaminen ei siis jää pelkästään vähimmäistasolle, vaan johtaa yhdenmukaistamiseen, joka on lähtökohtaisesti täydellinen. Juuri tätä silmällä pitäen direktiivillä 95/46/EY pyritään toteuttamaan henkilötietojen vapaa liikkuvuus takaamalla samalla korkeatasoinen suoja niiden henkilöiden oikeuksille ja vapauksille, joita tiedot koskevat.

97
On totta, että direktiivissä 95/46/EY tunnustetaan jäsenvaltioiden toimintamarginaali tietyillä alueilla ja sallitaan niiden pitää voimassa tai ottaa käyttöön erityisiä järjestelmiä erityisten tilanteiden varalta, kuten direktiivin useista eri säännöksistä voidaan havaita. Tällaisia mahdollisuuksia on kuitenkin käytettävä direktiivissä 95/46/EY säädetyllä tavalla ja sen tavoitteen mukaisesti, joka koskee henkilötietojen vapaan liikkuvuuden ja yksityiselämän suojan välisen tasapainon säilyttämistä.

98
Mikään ei sitä vastoin estä sitä, että jäsenvaltio laajentaa sen kansallisen lainsäädännön alaa, jolla direktiivi 95/46/EY pannaan täytäntöön, aloihin, jotka eivät kuulu direktiivin soveltamisalaan, ellei jokin muu yhteisön oikeussääntö tätä estä.

99
Nämä seikat huomioon ottaen seitsemänteen kysymykseen on vastattava, että toimenpiteiden, jotka jäsenvaltiot toteuttavat henkilötietojen tietosuojan toteuttamiseksi, on oltava direktiivin 95/46/EY säännösten ja direktiivin sen tavoitteen mukaisia, joka koskee henkilötietojen vapaan liikkuvuuden ja yksityiselämän suojan välisen tasapainon säilyttämistä. Mikään ei sitä vastoin estä sitä, että jäsenvaltio laajentaa sen kansallisen lainsäädännön alaa, jolla direktiivi 95/46/EY pannaan täytäntöön, aloihin, jotka eivät kuulu direktiivin soveltamisalaan, ellei jokin muu yhteisön oikeussääntö tätä estä.


Oikeudenkäyntikulut

100
Yhteisöjen tuomioistuimelle huomautuksensa esittäneille Ruotsin, Alankomaiden ja Yhdistyneen kuningaskunnan hallituksille ja komissiolle sekä EFTAn valvontaviranomaiselle aiheutuneita oikeudenkäyntikuluja ei voida määrätä korvattaviksi. Pääasian asianosaisten osalta asian käsittely yhteisöjen tuomioistuimessa on välivaihe kansallisessa tuomioistuimessa vireillä olevan asian käsittelyssä, minkä vuoksi kansallisen tuomioistuimen asiana on päättää oikeudenkäyntikulujen korvaamisesta.

Näillä perusteilla

YHTEISÖJEN TUOMIOISTUIN

on ratkaissut Göta hovrättin 23.2.2001 tekemällään päätöksellä esittämät kysymykset seuraavasti:

1)
Sitä, että Internet-kotisivulla viitataan henkilöihin ja yksilöidään heidät joko nimeltä tai muulla tavoin, kuten ilmoittamalla heidän puhelinnumeronsa tai antamalla tietoja heidän työsuhteestaan ja harrastuksistaan, on pidettävä yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24 päivänä lokakuuta 1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY 3 artiklan 1 kohdassa tarkoitettuna kokonaan tai osittain automatisoituna henkilötietojen käsittelynä.

2)
Tällainen henkilötietojen käsittely ei kuulu minkään direktiivin 95/46/EY 3 artiklan 2 kohdassa säädetyn poikkeuksen alaan.

3)
Mainintaa siitä, että henkilö on loukannut jalkansa ja on osa-aikaisella sairaslomalla, on pidettävä direktiivin 95/46/EY 8 artiklan 1 kohdassa tarkoitettuna terveyteen liittyvänä henkilötietona.

4)
Direktiivin 95/46/EY 25 artiklassa tarkoitetusta henkilötietojen siirrosta kolmansiin maihin ei ole kyse silloin, kun tietyssä jäsenvaltiossa oleva henkilö laittaa henkilötietoja Internet-sivulle, joka on tallennettu sellaisen luonnollisen tai oikeushenkilön palvelimelle, joka säilyttää sitä Internet-sivustoa, jolta kyseistä sivua voidaan lukea ja joka toimii samassa tai jossakin toisessa jäsenvaltiossa, saattaen tiedot näin kaikkien sellaisten henkilöiden saataville, jotka kytkeytyvät Internetiin, kolmansissa maissa olevat henkilöt mukaan lukien.

5)
Direktiivin 95/46/EY säännökset eivät sellaisenaan sisällä sananvapautta koskevan yleisen periaatteen tai muiden, erityisesti ihmisoikeuksien ja perusvapauksien suojaamisesta tehdyn, Roomassa 4.11.1950 allekirjoitetun yleissopimuksen 10 artiklaa vastaavien Euroopan unionissa voimassa olevien oikeuksien ja vapauksien vastaisia rajoituksia. Direktiivin 95/46/EY täytäntöönpanevan kansallisen sääntelyn soveltamisesta vastaavien kansallisten viranomaisten ja tuomioistuinten tehtävänä on taata kyseessä olevien oikeuksien ja intressien, yhteisön oikeusjärjestyksessä suojatut perusoikeudet mukaan lukien, välinen asianmukainen tasapaino.

6)
Toimenpiteiden, jotka jäsenvaltiot toteuttavat henkilötietojen tietosuojan toteuttamiseksi, on oltava direktiivin 95/46/EY säännösten ja direktiivin sen tavoitteen mukaisia, joka koskee henkilötietojen vapaan liikkuvuuden ja yksityiselämän suojan välisen tasapainon säilyttämistä. Mikään ei sitä vastoin estä sitä, että jäsenvaltio laajentaa sen kansallisen lainsäädännön alaa, jolla direktiivi 95/46/EY pannaan täytäntöön, aloihin, jotka eivät kuulu direktiivin soveltamisalaan, ellei jokin muu yhteisön oikeussääntö tätä estä.

Jann

Timmermans

Gulmann

Cunha Rodrigues

Rosas

Edward

Puissochet

Macken

von Bahr

Julistettiin Luxemburgissa 6 päivänä marraskuuta 2003.

R. Grass

V. Skouris

kirjaaja

presidentti

1 –
Oikeudenkäyntikieli: ruotsi.