UNIONIN TUOMIOISTUIMEN TUOMIO (ensimmäinen jaosto)

4 päivänä toukokuuta 2023 ( *1 )

Ennakkoratkaisupyyntö – Henkilötietojen suoja – Asetus (EU) 2016/679 – Rekisteröidyn oikeus saada tutustua käsiteltäviin henkilötietoihinsa – 15 artiklan 3 kohta – Jäljennöksen toimittaminen tiedoista – Jäljennöksen käsite – Tietojen käsite

Asiassa C‑487/21,

jossa on kyse SEUT 267 artiklaan perustuvasta ennakkoratkaisupyynnöstä, jonka Bundesverwaltungsgericht (liittovaltion hallintotuomioistuin, Itävalta) on esittänyt 9.8.2021 tekemällään päätöksellä, joka on saapunut unionin tuomioistuimeen 9.8.2021, saadakseen ennakkoratkaisun asiassa

F.F.

vastaan

Österreichische Datenschutzbehörde,

jossa asian käsittelyyn osallistuu

CRIF GmbH,

UNIONIN TUOMIOISTUIN (ensimmäinen jaosto),

toimien kokoonpanossa: jaoston puheenjohtaja A. Arabadjiev sekä tuomarit P. G. Xuereb, T. von Danwitz, A. Kumin ja I. Ziemele (esittelevä tuomari),

julkisasiamies: G. Pitruzzella,

kirjaaja: A. Calot Escobar,

ottaen huomioon kirjallisessa käsittelyssä esitetyn,

ottaen huomioon huomautukset, jotka sille ovat esittäneet

–	F.F., edustajanaan M. Schrems,

–	Österreichische Datenschutzbehörde, asiamiehinään A. Jelinek ja M. Schmidl,

–	CRIF GmbH, edustajinaan L. Feiler ja M. Raschhofer, Rechtsanwälte,

–	Itävallan hallitus, asiamiehinään G. Kunnert, A. Posch ja J. Schmoll,

–	Tšekin hallitus, asiamiehinään O. Serdula, M. Smolek ja J. Vláčil,

–	Italian hallitus, asiamiehenään G. Palmieri, avustajanaan M. Russo, avvocato dello Stato,

–	Euroopan komissio, asiamiehinään A. Bouchagiar, M. Heller ja H. Kranenborg,

kuultuaan julkisasiamiehen 15.12.2022 pidetyssä istunnossa esittämän ratkaisuehdotuksen,

on antanut seuraavan

tuomion

Ennakkoratkaisupyyntö koskee luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) (EUVL 2016, L 119, s. 1) 15 artiklan tulkintaa.

Tämä pyyntö on esitetty asiassa, jossa vastakkain ovat F.F. ja Österreichische Datenschutzbehörde (Itävallan tietosuojaviranomainen, jäljempänä DSB) ja joka koskee sitä, että viimeksi mainittu kieltäytyi velvoittamasta CRIF GmbH:ta toimittamaan F.F:lle jäljennöksen asiakirjoista ja tietokantojen otteista, jotka sisältävät muun muassa häntä koskevia käsiteltäviä henkilötietoja.

Asiaa koskevat oikeussäännöt

Yleisen tietosuoja-asetuksen johdanto-osan 10, 11, 26, 58, 60 ja 63 perustelukappaleessa todetaan seuraavaa:

”(10)

Jotta voitaisiin varmistaa yhdenmukainen ja korkeatasoinen luonnollisten henkilöiden suojelu ja poistaa henkilötietojen liikkuvuuden esteet unionissa, luonnollisten henkilöiden oikeuksien ja vapauksien suojelun tason näiden tietojen käsittelyssä olisi oltava vastaava kaikissa jäsenvaltioissa. Luonnollisten henkilöiden perusoikeuksien ja ‑vapauksien suojelua henkilötietojen käsittelyssä koskevien sääntöjen johdonmukainen ja yhtenäinen soveltaminen olisi varmistettava kaikkialla unionissa. – –

(11)	Henkilötietojen suojaaminen tehokkaasti kaikkialla unionissa edellyttää rekisteröityjen oikeuksien sekä henkilötietoja käsittelevien ja henkilötietojen käsittelyä määrittävien velvollisuuksien vahvistamista – –

– –

(26)

Tietosuojaperiaatteita olisi sovellettava kaikkiin tietoihin, jotka koskevat tunnistettua tai tunnistettavissa olevaa luonnollista henkilöä – – Jotta voidaan määrittää, onko luonnollinen henkilö tunnistettavissa, olisi otettava huomioon kaikki keinot, joita joko rekisterinpitäjä tai muu henkilö voi kohtuullisen todennäköisesti käyttää mainitun luonnollisen henkilön tunnistamiseen suoraan tai välillisesti, kuten kyseisen henkilön erottaminen muista – –

– –

(58)	Läpinäkyvyyden periaatteen mukaisesti yleisölle tai rekisteröidylle tarkoitettujen tietojen on oltava tiiviisti esitettyjä sekä helposti saatavilla ja ymmärrettäviä, ne on ilmaistava selkeällä ja yksinkertaisella kielellä – –

– –

(60)

Asianmukaisen ja läpinäkyvän käsittelyn periaatteiden mukaisesti rekisteröidylle on ilmoitettava henkilötietojen käsittelystä ja sen tarkoituksista. Rekisterinpitäjän olisi toimitettava rekisteröidylle lisätiedot, jotka ovat tarpeen asianmukaisen ja läpinäkyvän käsittelyn varmistamiseksi, ottaen huomioon henkilötietojen käsittelyn erityiset olosuhteet ja asiayhteys. – –

– –

(63)

Rekisteröidyllä olisi oltava oikeus saada pääsy henkilötietoihin, joita hänestä on kerätty, sekä mahdollisuus käyttää tätä oikeutta vaivattomasti ja kohtuullisin väliajoin, jotta hän voi pysyä perillä käsittelyn lainmukaisuudesta ja tarkistaa sen. – – Kaikilla rekisteröidyillä olisi sen vuoksi oltava oikeus tietää ja saada ilmoitus erityisesti henkilötietojen käsittelyn tarkoituksista, ja jos mahdollista, käsittelyajasta, henkilötietojen vastaanottajista, käsiteltävien henkilötietojen automaattisen käsittelyn logiikasta sekä kyseisen käsittelyn mahdollisista seurauksista, ainakin jos käsittely perustuu profilointiin. Mikäli mahdollista, rekisterinpitäjän olisi voitava tarjota etäpääsy suojattuun järjestelmään, jossa rekisteröity saa suoran pääsyn henkilötietoihinsa. Tämä oikeus ei saisi vaikuttaa epäedullisesti muiden oikeuksiin ja vapauksiin, joita ovat esimerkiksi liikesalaisuudet tai teollis- ja tekijänoikeudet ja erityisesti ohjelmistoja suojaavat tekijänoikeudet. – –”

Kyseisen asetuksen 4 artiklassa säädetään seuraavaa:

”Tässä asetuksessa tarkoitetaan

’henkilötiedoilla’ kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön – – liittyviä tietoja; tunnistettavissa olevana pidetään luonnollista henkilöä, joka voidaan suoraan tai epäsuorasti tunnistaa erityisesti tunnistetietojen, kuten nimen, henkilötunnuksen, sijaintitiedon, verkkotunnistetietojen taikka yhden tai useamman hänelle tunnusomaisen fyysisen, fysiologisen, geneettisen, psyykkisen, taloudellisen, kulttuurillisen tai sosiaalisen tekijän perusteella,

2)	’käsittelyllä’ toimintoa tai toimintoja, joita kohdistetaan henkilötietoihin tai henkilötietoja sisältäviin tietojoukkoihin joko automaattista tietojenkäsittelyä käyttäen tai manuaalisesti – –

– –”

Mainitun asetuksen 12 artiklassa, joka otsikko on ”Läpinäkyvä informointi, viestintä ja yksityiskohtaiset säännöt rekisteröidyn oikeuksien käyttöä varten”, säädetään seuraavaa:

”1. Rekisterinpitäjän on toteutettava asianmukaiset toimenpiteet toimittaakseen rekisteröidylle 13 ja 14 artiklan mukaiset tiedot ja 15–22 artiklan ja 34 artiklan mukaiset kaikki käsittelyä koskevat tiedot tiiviisti esitetyssä, läpinäkyvässä, helposti ymmärrettävässä ja saatavilla olevassa muodossa selkeällä ja yksinkertaisella kielellä varsinkin silloin, kun tiedot on tarkoitettu erityisesti lapselle. Tiedot on toimitettava kirjallisesti tai muulla tavoin ja tapauksen mukaan sähköisessä muodossa. Jos rekisteröity sitä pyytää, tiedot voidaan antaa suullisesti edellyttäen, että rekisteröidyn henkilöllisyys on vahvistettu muulla tavoin.

– –

3. Rekisterinpitäjän on toimitettava rekisteröidylle tiedot toimenpiteistä, joihin on ryhdytty 15–22 artiklan nojalla tehdyn pyynnön johdosta ilman aiheetonta viivytystä ja joka tapauksessa kuukauden kuluessa pyynnön vastaanottamisesta. – – Jos rekisteröity esittää pyynnön sähköisesti, tiedot on toimitettava sähköisesti mahdollisuuksien mukaan, paitsi jos rekisteröity toisin pyytää.

– –”

Yleisen tietosuoja-asetuksen 15 artiklassa, jonka otsikko on ”Rekisteröidyn oikeus saada tutustua tietoihin”, säädetään seuraavaa:

”1. Rekisteröidyllä on oikeus saada rekisterinpitäjältä vahvistus siitä, käsitelläänkö häntä koskevia henkilötietoja, ja jos näitä henkilötietoja käsitellään, oikeus saada tutustua henkilötietoihin sekä saada seuraavat tiedot:

a)	käsittelyn tarkoitukset;

b)	kyseessä olevat henkilötietoryhmät;

c)	vastaanottajat tai vastaanottajaryhmät, erityisesti kolmansissa maissa olevat vastaanottajat tai kansainväliset järjestöt, joille henkilötietoja on luovutettu tai on tarkoitus luovuttaa;

d)	mahdollisuuksien mukaan henkilötietojen suunniteltu säilytysaika tai jos se ei ole mahdollista, tämän ajan määrittämiskriteerit;

e)	rekisteröidyn oikeus pyytää rekisterinpitäjältä häntä itseään koskevien henkilötietojen oikaisemista tai poistamista taikka henkilötietojen käsittelyn rajoittamista tai vastustaa tällaista käsittelyä;

f)	oikeus tehdä valitus [oikeammin: kantelu] valvontaviranomaiselle;

g)	jos henkilötietoja ei kerätä rekisteröidyltä, kaikki saatavilla olevat tiedot tietojen alkuperästä;

h)	jäljempänä 22 artiklan 1 ja 4 kohdassa tarkoitetun automaattisen päätöksenteon, mukaan lukien profiloinnin olemassaolo, sekä ainakin näissä tapauksissa merkitykselliset tiedot käsittelyyn liittyvästä logiikasta samoin kuin kyseisen käsittelyn merkittävyys ja mahdolliset seuraukset rekisteröidylle.

2. Jos henkilötietoja siirretään kolmanteen maahan tai kansainväliselle järjestölle, rekisteröidyllä on oikeus saada ilmoitus 46 artiklassa tarkoitetuista siirtoa koskevista asianmukaisista suojatoimista.

3. Rekisterinpitäjän on toimitettava jäljennös käsiteltävistä henkilötiedoista. Jos rekisteröity pyytää useampia jäljennöksiä, rekisterinpitäjä voi periä niistä hallinnollisiin kustannuksiin perustuvan kohtuullisen maksun. Jos rekisteröity esittää pyynnön sähköisesti, tiedot on toimitettava yleisesti käytetyssä sähköisessä muodossa, paitsi jos rekisteröity toisin pyytää.

4. Oikeus saada 3 kohdassa tarkoitettu jäljennös ei saa vaikuttaa haitallisesti muiden oikeuksiin ja vapauksiin.”

Kyseisen asetuksen 16 artiklassa, jonka otsikko on ”Oikeus tietojen oikaisemiseen”, säädetään seuraavaa:

”Rekisteröidyllä on oikeus siihen, että rekisterinpitäjä oikaisee ilman aiheetonta viivytystä rekisteröityä koskevat virheelliset henkilötiedot. Ottaen huomioon tarkoitukset, joihin tietoja käsiteltiin, rekisteröidyllä on oikeus saada puutteelliset henkilötiedot täydennettyä, muun muassa toimittamalla lisäselvitys.”

Mainitun asetuksen 17 artiklan, jonka otsikko on ”Oikeus tietojen poistamiseen (’oikeus tulla unohdetuksi’), 1 kohdassa säädetään seuraavaa:

”Rekisteröidyllä on oikeus saada rekisterinpitäjä poistamaan rekisteröityä koskevat henkilötiedot ilman aiheetonta viivytystä, ja rekisterinpitäjällä on velvollisuus poistaa henkilötiedot ilman aiheetonta viivytystä – –”

Pääasia ja ennakkoratkaisukysymykset

9	CRIF GmbH on luottotietoyritys, joka toimittaa asiakkaidensa pyynnöstä tietoja kolmansien osapuolten maksukyvystä. Tässä tarkoituksessa se käsitteli pääasian kantajan henkilötietoja.

Viimeksi mainittu pyysi 20.12.2018 CRIF:ltä yleisen tietosuoja-asetuksen 15 artiklan nojalla saada tutustua henkilötietoihinsa. Lisäksi hän pyysi toimittamaan jäljennöksen asiakirjoista eli sähköpostiviesteistä ja tietokantojen otteista, jotka sisältävät muun muassa häntä koskevia tietoja, ”yleisesti käytetyssä teknisessä muodossa”.

11	Vastauksena tähän pyyntöön CRIF toimitti pääasian kantajalle koosteena luettelon häntä koskevista käsiteltävistä henkilötiedoista.

12	Koska pääasian kantaja katsoi, että CRIF:n olisi pitänyt toimittaa hänelle jäljennös kaikista hänen henkilötietojaan sisältävistä asiakirjoista, kuten sähköpostiviesteistä ja tietokantojen otteista, hän teki DSB:lle kantelun.

13	DSB hylkäsi kyseisen kantelun 11.9.2019 tekemällään päätöksellä ja katsoi, ettei CRIF ollut millään tavalla loukannut pääasian kantajan oikeutta saada tutustua henkilötietoihinsa.

Ennakkoratkaisua pyytänyt tuomioistuin, jossa pääasian kantaja nosti kanteen tästä päätöksestä, pohtii yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan ensimmäisen virkkeen soveltamisalaa. Se pohtii erityisesti, täyttyykö tässä säännöksessä säädetty velvollisuus toimittaa jäljennös henkilötiedoista, kun rekisterinpitäjä toimittaa henkilötiedot koosteena vai edellyttääkö tämä velvollisuus myös asiakirjojen otteiden tai kokonaisten asiakirjojen sekä sellaisten tietokantojen otteiden, jotka sisältävät näitä tietoja, toimittamista.

Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee tarkemmin sanoen, määritelläänkö yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan ensimmäisessä virkkeessä vain muoto, jossa oikeus saada tutustua kyseisen asetuksen 15 artiklan 1 kohdassa tarkoitettuihin tietoihin on taattava, vai vahvistetaanko ensin mainitussa säännöksessä rekisteröidylle itsenäinen oikeus saada tutustua tietoihin, jotka koskevat asiayhteyttä, jossa kyseisen henkilön henkilötietoja käsitellään, asiakirjojen otteiden tai kokonaisten asiakirjojen tai tietokantojen otteiden, jotka sisältävät muun muassa nämä tiedot, jäljennösten muodossa.

Ennakkoratkaisua pyytänyt tuomioistuin pohtii lisäksi, kattaako yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan kolmanteen virkkeeseen sisältyvä tietojen käsite myös kyseisen asetuksen 15 artiklan 1 kohdan a–h alakohdassa tarkoitetut tiedot tai tietoihin liittyvien metatietojen kaltaiset lisätiedot, vai kattaako se ainoastaan mainitun asetuksen 15 artiklan 3 kohdan ensimmäisessä virkkeessä tarkoitetut ”käsiteltävät henkilötiedot”.

Tämän vuoksi Bundesverwaltungsgericht on päättänyt lykätä asian käsittelyä ja esittää unionin tuomioistuimelle seuraavat ennakkoratkaisukysymykset:

”1)

Onko [yleisen tietosuoja-asetuksen] 15 artiklan 3 kohdassa olevaa käsitettä ’jäljennös’ tulkittava siten, että sillä tarkoitetaan valokopiota tai alkuperäistä vastaavaa toisintoa tai (sähköisen) tiedoston sähköistä jäljennöstä, vai onko tätä käsitettä tulkittava saksalaisten, ranskalaisten ja englantilaisten sanakirjojen perusteella niin, että siihen kuuluu myös ’Abschrift’, ’double’ (’duplicata’) tai ’transcript’?

Onko yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan ensimmäistä virkettä, jonka mukaan ’rekisterinpitäjän on toimitettava jäljennös käsiteltävistä henkilötiedoista’, tulkittava siten, että sillä tarkoitetaan rekisteröidyllä olevaa yleistä oikeutta saada jäljennös – myös – kokonaisista asiakirjoista, joissa rekisteröidyn henkilötietoja käsitellään, tai, jos henkilötietoja käsitellään tietokannassa, yleistä oikeutta saada jäljennös tietokantaotteesta, vai tarkoitetaanko tällä – ainoastaan – rekisteröidyn oikeutta saada alkuperäistä vastaava toisinto henkilötiedoista, joihin hänellä on oikeus saada tutustua yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan mukaan?

Jos toiseen kysymykseen vastataan siten, että rekisteröidyllä on ainoastaan oikeus saada alkuperäistä vastaava toisinto henkilötiedoista, joihin hänellä on oikeus saada tutustua yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan mukaan, onko [sen] 15 artiklan 3 kohdan ensimmäistä virkettä tulkittava siten, että käsiteltävien tietojen luonteesta [esimerkiksi yleisen tietosuoja-asetuksen johdanto-osan 63 perustelukappaleessa mainitut diagnoosit, tutkimustulokset tai arviot tai myös unionin tuomioistuimen 20.12.2017 antamassa tuomiossa Nowak (C‑434/16, EU:2017:994) tarkoitettuun kokeeseen liittyvä aineisto] riippuen ja yleisen tietosuoja-asetuksen 12 artiklan 1 kohdassa vahvistetun läpinäkyvyyden periaatteen vuoksi voi yksittäistapauksessa kuitenkin olla tarpeen, että rekisteröidylle toimitetaan myös katkelmia tekstistä tai kokonaisia asiakirjoja?

Onko käsitettä ’tiedot’, jotka yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan kolmannen virkkeen mukaan on silloin, kun rekisteröity esittää pyynnön sähköisesti, toimitettava hänelle ’yleisesti käytetyssä sähköisessä muodossa, paitsi jos rekisteröity toisin pyytää’, tulkittava siten, että sillä tarkoitetaan ainoastaan yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan ensimmäisessä virkkeessä mainittuja ’käsiteltäviä henkilötietoja’?

Jos neljänteen kysymykseen vastataan kieltävästi: Onko käsitettä ’tiedot’, jotka yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan kolmannen virkkeen mukaan on silloin, kun rekisteröity esittää pyynnön sähköisesti, toimitettava hänelle ’yleisesti käytetyssä sähköisessä muodossa, paitsi jos rekisteröity toisin pyytää’, tulkittava siten, että sillä tarkoitetaan lisäksi myös yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan a–h alakohdassa mainittuja tietoja?

Jos myös neljännen kysymyksen a kohtaan vastataan kieltävästi: Onko käsitettä ’tiedot’, jotka yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan kolmannen virkkeen mukaan on silloin, kun rekisteröity esittää pyynnön sähköisesti, toimitettava hänelle ’yleisesti käytetyssä sähköisessä muodossa, paitsi jos rekisteröity toisin pyytää’, tulkittava siten, että sillä tarkoitetaan käsiteltävien henkilötietojen ja yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan a–h alakohdassa mainittujen tietojen lisäksi esimerkiksi niihin liittyviä metatietoja?”

Ennakkoratkaisukysymysten tarkastelu

Ensimmäinen, toinen ja kolmas ennakkoratkaisukysymys

Ensimmäisellä, toisella ja kolmannella kysymyksellään, joita on tarkasteltava yhdessä, ennakkoratkaisua pyytänyt tuomioistuin tiedustelee lähinnä, onko yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan ensimmäistä virkettä, luettuna kyseisen asetuksen 12 artiklan 1 kohdassa säädetyn läpinäkyvyyden periaatteen valossa, tulkittava siten, että oikeus saada jäljennös käsiteltävistä henkilötiedoista edellyttää, että rekisteröidylle annetaan paitsi jäljennös näistä tiedoista myös jäljennös asiakirjojen otteista tai kokonaisista asiakirjoista taikka tietokantojen otteista, jotka sisältävät muun muassa kyseiset tiedot. Kyseinen tuomioistuin pohtii erityisesti tämän oikeuden laajuutta.

Aluksi on muistutettava, että unionin tuomioistuimen vakiintuneen oikeuskäytännön mukaan unionin oikeuden säännöksen tai määräyksen tulkitsemisessa on otettava huomioon paitsi sen sanamuoto sen tavanomaisen merkityksen mukaisesti, joka sillä on yleiskielessä, myös sen asiayhteys ja sillä säännöstöllä tavoitellut päämäärät, jonka osa se on (ks. vastaavasti tuomio 2.12.2021, Vodafone Kabel Deutschland, C‑484/20, EU:C:2021:975, 19 kohta oikeuskäytäntöviittauksineen ja tuomio 7.12.2022, Staatssecretaris van Justitie en Veiligheid (SEUT 20 artiklaan perustuvan oleskeluoikeuden luonne), C‑624/20, EU:C:2022:639, 28 kohta).

20	Yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan ensimmäisen virkkeen sanamuodosta on todettava, että kyseisessä säännöksessä säädetään, että rekisterinpitäjän ”on toimitettava jäljennös käsiteltävistä henkilötiedoista”.

Vaikka yleisessä tietosuoja-asetuksessa ei määritellä näin käytettyä jäljennöksen käsitettä, on otettava huomioon kyseisen ilmaisun tavanomainen merkitys, jolla tarkoitetaan, kuten julkisasiamies on todennut ratkaisuehdotuksensa 30 kohdassa, alkuperäiskappaletta vastaavaa toisintoa tai transkriptiota, joten käsiteltävien tietojen puhtaasti yleinen kuvaus tai viittaus henkilötietojen ryhmiin ei vastaa tätä määritelmää. Lisäksi kyseisen asetuksen 15 artiklan 3 kohdan ensimmäisen virkkeen sanamuodosta ilmenee, että tiedoksiantovelvollisuus koskee henkilötietoja, jotka ovat kyseisen käsittelyn kohteena.

Yleisen tietosuoja-asetuksen 4 artiklan 1 alakohdassa määritellään ”henkilötiedoilla” tarkoitettavan ”kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön liittyviä tietoja” ja täsmennetään, että ”tunnistettavissa olevana pidetään luonnollista henkilöä, joka voidaan suoraan tai epäsuorasti tunnistaa erityisesti tunnistetietojen, kuten nimen, henkilötunnuksen, sijaintitiedon, verkkotunnistetietojen taikka yhden tai useamman hänelle tunnusomaisen fyysisen, fysiologisen, geneettisen, psyykkisen, taloudellisen, kulttuurillisen tai sosiaalisen tekijän perusteella”.

Ilmaisun ”kaikki tiedot” käyttäminen kyseiseen säännökseen sisältyvän henkilötietojen määritelmässä heijastaa unionin lainsäätäjän pyrkimystä antaa laaja merkitys tälle käsitteelle, joka voi kattaa kaikenlaiset tiedot, sekä objektiiviset että subjektiiviset tiedot, jotka ilmaistaan mielipiteen tai arvion muodossa, edellyttäen, että ne ”koskevat” kyseessä olevaa henkilöä (ks. analogisesti tuomio 20.12.2017, Nowak, C‑434/16, EU:C:2017:994, 34 kohta).

24	Tältä osin on todettu, että tieto koskee tunnistettua tai tunnistettavissa olevaa luonnollista henkilöä, kun tieto liittyy tunnistettavissa olevaan henkilöön sisältönsä, tarkoituksensa tai vaikutuksensa vuoksi (ks. vastaavasti tuomio 20.12.2017, Nowak, C‑434/16, EU:C:2017:994, 35 kohta).

Luonnollisen henkilön tunnistettavuuden osalta yleisen tietosuoja-asetuksen johdanto-osan 26 perustelukappaleessa täsmennetään, että on otettava huomioon ”kaikki keinot, joita joko rekisterinpitäjä tai muu henkilö voi kohtuullisen todennäköisesti käyttää mainitun luonnollisen henkilön tunnistamiseen suoraan tai välillisesti, kuten kyseisen henkilön erottaminen muista”.

Kuten julkisasiamies on todennut ratkaisuehdotuksensa 36–39 kohdassa, henkilötietojen käsitteen laaja määritelmä kattaa paitsi rekisterinpitäjän keräämät ja säilyttämät tiedot, myös kaikki henkilötietojen käsittelystä saadut tiedot, jotka koskevat tunnistettua tai tunnistettavissa olevaa henkilöä, kuten henkilön luottokelpoisuuden tai maksuvalmiuden arviointi.

Tässä yhteydessä on vielä lisättävä, että unionin lainsäätäjän tarkoituksena on ollut antaa käsittelyn käsitteelle, sellaisena kuin se on määritelty yleisen tietosuoja-asetuksen 4 artiklan 2 alakohdassa, laaja merkitys luettelemalla toiminnot ei-tyhjentävästi (ks. vastaavasti tuomio 24.2.2022, Valsts ieņēmumu dienests (Henkilötietojen käsittely verotusta varten), C‑175/20, EU:C:2022:124, 35 kohta).

Yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan ensimmäisen virkkeen sanamuodon tarkastelusta seuraa siten, että tällä säännöksellä annetaan rekisteröidylle oikeus saada alkuperäistä vastaava toisinto laajassa merkityksessään ymmärretyistä henkilötiedoistaan, joihin kohdistetaan toimintoja, jotka on luokiteltava tällaisen rekisterinpitäjän suorittamaksi käsittelyksi.

Näin ollen on todettava, ettei kolmeen ensimmäiseen kysymykseen voida vastata pelkästään tämän saman säännöksen sanamuodon perusteella, koska se ei sisällä mitään mainintaa mahdollisesta oikeudesta saada paitsi jäljennös käsiteltävistä henkilötiedoista myös jäljennös asiakirjojen otteista tai kokonaisista asiakirjoista taikka tietokantojen otteista, jotka sisältävät muun muassa nämä tiedot.

Yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan ensimmäisen virkkeen asiayhteydestä on todettava, että yleisen tietosuoja-asetuksen 15 artiklan, jonka otsikko on ”Rekisteröidyn oikeus saada tutustua tietoihin”, 1 kohdassa määritellään kohde ja soveltamisala rekisteröidyn oikeudelle saada tutustua tietoihin ja siinä vahvistetaan rekisteröidyn oikeus saada rekisterinpitäjältä pääsy häntä koskeviin henkilötietoihin sekä kyseisen kohdan a–h alakohdassa tarkoitetut tiedot.

Yleisen tietosuoja-asetuksen 15 artiklan 3 kohdassa täsmennetään rekisterinpitäjän velvoitteen täytäntöönpanoa koskevat käytännön yksityiskohdat ja sen ensimmäisessä virkkeessä täsmennetään erityisesti, missä muodossa – eli ”jäljennöksenä” – rekisterinpitäjän on toimitettava ”käsiteltävät henkilötiedot”. Lisäksi kyseisen kohdan kolmannessa virkkeessä säädetään, että jos pyyntö esitetään sähköisesti, tiedot on toimitettava yleisesti käytetyssä sähköisessä muodossa, paitsi jos rekisteröity toisin pyytää.

Yleisen tietosuoja-asetuksen 15 artiklaa ei siten voida tulkita siten, että sen 3 kohdan ensimmäisessä virkkeessä tunnustettaisiin sen 1 kohdassa säädetystä oikeudesta erillinen oikeus. Kuten Euroopan komissio on todennut kirjallisissa huomauksissaan, ilmaisu ”jäljennös” ei liity asiakirjaan sellaisenaan, vaan sen sisältämiin henkilötietoihin, joiden on oltava täydelliset. Jäljennöksen on näin ollen sisällettävä kaikki käsiteltävät henkilötiedot.

Yleisen tietosuoja-asetuksen 15 artiklan tavoitteista on todettava, että sen tarkoituksena on, kuten sen johdanto-osan 11 perustelukappaleessa täsmennetään, vahvistaa ja täsmentää rekisteröityjen oikeuksia. Kyseisen asetuksen 15 artiklassa säädetään tältä osin oikeudesta saada jäljennös, toisin kuin yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY (EYVL 1995, L 281, s. 31) 12 artiklan a alakohdan toisessa luetelmakohdassa, jossa vahvistettiin ainoastaan rekisteröidyn oikeus saada ”käsiteltävät tiedot itselleen ymmärrettävässä muodossa”. Yleisen tietosuoja-asetuksen johdanto-osan 63 perustelukappaleessa puolestaan täsmennetään, että ”rekisteröidyllä olisi oltava oikeus saada pääsy henkilötietoihin, joita hänestä on kerätty, sekä mahdollisuus käyttää tätä oikeutta vaivattomasti ja kohtuullisin väliajoin, jotta hän voi pysyä perillä käsittelyn lainmukaisuudesta ja tarkistaa sen”.

Yleisen tietosuoja-asetuksen 15 artiklassa säädetyllä oikeudella saada tutustua tietoihin on siis taattava se, että rekisteröity voi varmistua henkilötietojensa paikkansapitävyydestä ja siitä, että niitä käsitellään lainmukaisesti (ks. vastaavasti tuomio 12.1.2023, Österreichische Post (Henkilötietojen vastaanottajiin liittyvät tiedot), C‑154/21, EU:C:2023:3, 37 kohta oikeuskäytäntöviittauksineen).

Tämä oikeus saada tutustua tietoihin on eritysesti tarpeen, jotta rekisteröity voi tarvittaessa käyttää hänelle yleisen tietosuoja-asetuksen 16, 17 ja 18 artiklalla annettuja oikeuksia tietojen oikaisemiseen, tietojen poistamiseen (”oikeus tulla unohdetuksi”) ja käsittelyn rajoittamiseen samoin kuin yleisen tietosuoja-asetuksen 21 artiklassa säädettyä henkilötietojen käsittelyn vastustamista koskevaa oikeutta sekä kyseisen asetuksen 79 ja 82 artiklassa säädettyjä oikeussuojakeinoja, jos hänelle aiheutuu vahinkoa (tuomio 12.1.2023, Österreichische Post (Henkilötietojen vastaanottajiin liittyvät tiedot), C‑154/21, EU:C:2023:3, 38 kohta oikeuskäytäntöviittauksineen).

On myös todettava, että yleisen tietosuoja-asetuksen johdanto-osan 60 perustelukappaleessa todetaan, että asianmukaisen ja läpinäkyvän käsittelyn periaatteiden mukaisesti rekisteröidylle on ilmoitettava henkilötietojen käsittelystä ja sen tarkoituksista, ja siinä korostetaan, että rekisterinpitäjän olisi toimitettava rekisteröidylle lisätiedot, jotka ovat tarpeen asianmukaisen ja läpinäkyvän käsittelyn varmistamiseksi, ottaen huomioon henkilötietojen käsittelyn erityiset olosuhteet ja asiayhteys.

Lisäksi ennakkoratkaisua pyytäneen tuomioistuimen mainitseman läpinäkyvyyden periaatteen, johon yleisen tietosuoja-asetuksen johdanto-osan 58 perustelukappaleessa viitataan ja joka vahvistetaan nimenomaisesti kyseisen asetuksen 12 artiklan 1 kohdassa, mukaan rekisteröidylle tarkoitettujen tietojen on oltava tiiviisti esitettyjä sekä helposti saatavilla ja ymmärrettäviä ja ne on ilmaistava selkeällä ja yksinkertaisella kielellä.

Kuten julkisasiamies on todennut ratkaisuehdotuksensa 54 ja 55 kohdassa, kyseisetä säännöksestä ilmenee, että rekisterinpitäjän on toteutettava asianmukaiset toimenpiteet toimittaakseen rekisteröidylle muun muassa yleisen tietosuoja-asetuksen 15 artiklassa tarkoitetut tiedot tiiviisti esitetyssä, läpinäkyvässä, helposti ymmärrettävässä ja saatavilla olevassa muodossa selkeällä ja yksinkertaisella kielellä ja että tiedot on toimitettava kirjallisesti tai muulla tavoin ja tapauksen mukaan sähköisessä muodossa, ellei rekisteröity pyydä niiden antamista suullisesti. Tämän säännöksen, joka ilmaisee läpinäkyvyyden periaatteen, tavoitteena on taata, että rekisteröity kykenee ymmärtämään kaikilta osin tiedot, jotka hänelle toimitetaan.

Tästä seuraa, että käsiteltävien henkilötietojen jäljennöksellä, joka rekisterinpitäjän on toimitettava yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan ensimmäisen virkkeen nojalla, on oltava kaikki ominaisuudet, joiden perusteella rekisteröity voi käyttää tehokkaasti tämän asetuksen mukaisia oikeuksiaan, ja siinä on näin ollen toistettava nämä tiedot kokonaisuudessaan ja tarkasti.

Tämä tulkinta vastaa yleisen tietosuoja‑asetuksen tavoitetta, jolla – kuten mainitun asetuksen johdanto‑osan kymmenennestä perustelukappaleesta ilmenee – pyritään muun muassa varmistamaan luonnollisten henkilöiden korkeatasoinen suojelu unionissa ja tätä varten varmistamaan näiden henkilöiden perusoikeuksien ja ‑vapauksien suojelua henkilötietojen käsittelyssä koskevien sääntöjen johdonmukainen ja yhtenäinen soveltaminen kaikkialla unionissa (ks. vastaavasti tuomio 9.2.2023, X-FAB Dresden, C‑453/21, EU:C:2023:79, 25 kohta oikeuskäytäntöviittauksineen).

Sen takaamiseksi, että näin toimitetut tiedot ovat helposti ymmärrettävissä, kuten yleisen tietosuoja-asetuksen 12 artiklan 1 kohdassa, luettuna yhdessä kyseisen asetuksen johdanto-osan 58 perustelukappaleen kanssa, edellytetään, asiakirjojen otteiden tai kokonaisten asiakirjojen tai tietokantojen otteiden, jotka sisältävät muun muassa käsiteltäviä henkilötietoja, toisintaminen voi osoittautua välttämättömäksi, kuten julkisasiamies on todennut ratkaisuehdotuksensa 57 ja 58 kohdassa, jos käsiteltyjen tietojen kontekstualisointi on tarpeen niiden ymmärrettävyyden varmistamiseksi.

Erityisesti silloin, kun henkilötietoja tuotetaan muiden tietojen perusteella tai kun tällaiset tiedot ovat peräisin vapaista kentistä eli siitä, ettei anneta tietoja, joista paljastuisi tietoja rekisteröidystä, asiayhteys, jossa näitä tietoja käsitellään, on välttämätön tekijä, jotta rekisteröity voi saada kyseiset tiedot läpinäkyvässä ja ymmärrettävästi esitetyssä muodossa.

Lisäksi yleisen tietosuoja-asetuksen 15 artiklan 4 kohdan mukaan, luettuna yhdessä kyseisen asetuksen johdanto-osan 63 perustelukappaleen kanssa, oikeuden saada 3 kohdassa tarkoitettu jäljennös ei pitäisi vaikuttaa haitallisesti muiden oikeuksiin ja vapauksiin, mukaan lukien liikesalaisuudet tai teollis- ja tekijänoikeudet ja erityisesti ohjelmistoja suojaavat tekijänoikeudet.

Kuten julkisasiamies on korostanut ratkaisuehdotuksensa 61 kohdassa, jos yhtäältä henkilötietoihin tutustumista koskevan täyden ja kattavan oikeuden käyttäminen ja toisaalta muiden oikeudet ja vapaudet ovat ristiriidassa keskenään, kyseisiä oikeuksia on punnittava keskenään. Jos mahdollista, on valittava sellaiset henkilötietojen toimittamistavat, joilla ei vaikuteta haitallisesti muiden oikeuksiin tai vapauksiin, samalla kun otetaan huomioon, että kuten yleisen tietosuoja-asetuksen johdanto-osan 63 perustelukappaleesta ilmenee, tällaiset seikat eivät saa kuitenkaan ”johtaa siihen, että rekisteröidylle ei anneta minkäänlaista tietoa”.

Edellä esitetyn perusteella ensimmäiseen, toiseen ja kolmanteen ennakkoratkaisukysymykseen on vastattava, että yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan ensimmäistä virkettä

on tulkittava siten, että

oikeus saada rekisterinpitäjältä jäljennös käsiteltävistä henkilötiedoista merkitsee sitä, että rekisteröidylle annetaan alkuperäistä vastaava ja ymmärrettävä toisinto kaikista näistä tiedoista. Tämä oikeus merkitsee oikeutta saada jäljennös sellaisista asiakirjojen otteista tai kokonaisista asiakirjoista taikka tietokantojen otteista, jotka sisältävät muun muassa mainitut tiedot, jos tällaisen jäljennöksen toimittaminen on välttämätöntä, jotta rekisteröity voi tosiasiallisesti käyttää hänelle kyseisellä asetuksella annettuja oikeuksia, ja tältä osin on otettava huomioon muiden oikeudet ja vapaudet.

Neljäs ennakkoratkaisukysymys

Tällä kysymyksellä ennakkoratkaisua pyytänyt tuomioistuin tiedustelee lähinnä, onko yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan kolmatta virkettä tulkittava siten, että siinä tarkoitettu tietojen käsite liittyy yksinomaan henkilötietoihin, joista rekisterinpitäjän on toimitettava jäljennös kyseisen kohdan ensimmäisen virkkeen mukaisesti, vai viitataanko siinä myös kaikkiin kyseisen artiklan 1 kohdassa mainittuihin tietoihin vai kattaako se näiden tietojen lisäksi jopa metatietojen kaltaiset muut tekijät.

47	Kuten tämän tuomion 19 kohdassa muistutetaan, unionin oikeuden säännöksen tai määräyksen tulkitsemisessa on otettava huomioon paitsi sen sanamuoto myös asiayhteys ja sillä lainsäädännöllä tavoitellut päämäärät, jonka osa se on.

Vaikka yleisen tietosuoja-asetuksen 15 artiklan 3 kohdassa todetaan vain, että ”jos rekisteröity esittää pyynnön sähköisesti, tiedot on toimitettava yleisesti käytetyssä sähköisessä muodossa”, täsmentämättä, mitä ilmaisulla ”tiedot” tarkoitetaan, kyseisen kohdan ensimmäisen virkkeen mukaan ”rekisterinpitäjän on toimitettava jäljennös käsiteltävistä henkilötiedoista”.

49	Yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan kolmannen virkkeen asiayhteydestä seuraa näin ollen, että siinä tarkoitetut tiedot vastaavat välttämättä henkilötietoja, joista rekisterinpitäjän on toimitettava jäljennös kyseisen kohdan ensimmäisen virkkeen mukaisesti.

Tällaista tulkintaa tukevat yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan tavoitteet eli – kuten tämän tuomion 31 kohdassa on muistutettu – käsiteltävien henkilötietojen jäljennöksen toimittamista koskevan rekisterinpitäjän velvoitteen täytäntöönpanoa koskevien käytännön yksityiskohtien määritteleminen. Näin ollen kyseisellä säännöksellä ei luoda oikeutta, joka olisi erillinen rekisteröidyn oikeudesta saada näistä tiedoista alkuperäistä vastaava ja ymmärrettävä toisinto, jonka perusteella hän voi käyttää tehokkaasti hänelle tällä asetuksella myönnettyjä oikeuksia.

51	On kuitenkin todettava, ettei missään mainitun asetuksen säännöksessä säädetä pyynnön erilaisesta kohtelusta sen mukaan, missä muodossa se on tehty, joten jäljennöksen saamista koskevan oikeuden laajuus ei voi vaihdella tämän muodon mukaan.

Lisäksi on todettava, että yleisen tietosuoja-asetuksen 12 artiklan 3 kohdassa säädetään, että jos pyyntö esitetään sähköisesti, kyseisessä 15 artiklassa tarkoitetut tiedot, mainitun artiklan a–h alakohdassa mainitut tiedot mukaan lukien, on toimitettava sähköisesti, ellei rekisteröity toisin pyydä.

Edellä esiin tuotujen seikkojen perusteella neljänteen ennakkoratkaisukysymykseen on vastattava, että yleisen tietosuoja-asetuksen 15 artiklan 3 kohdan kolmatta virkettä

on tulkittava siten, että

siinä tarkoitettu tietojen käsite liittyy yksinomaan henkilötietoihin, joista rekisterinpitäjän on toimitettava jäljennös kyseisen kohdan ensimmäisen virkkeen mukaisesti.

Oikeudenkäyntikulut

Pääasian asianosaisten osalta asian käsittely unionin tuomioistuimessa on välivaihe kansallisessa tuomioistuimessa vireillä olevan asian käsittelyssä, minkä vuoksi kansallisen tuomioistuimen asiana on päättää oikeudenkäyntikulujen korvaamisesta. Oikeudenkäyntikuluja, jotka ovat aiheutuneet muille kuin näille asianosaisille huomautusten esittämisestä unionin tuomioistuimelle, ei voida määrätä korvattaviksi.

Näillä perusteilla unionin tuomioistuin (ensimmäinen jaosto) on ratkaissut asian seuraavasti:

Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) 15 artiklan 3 kohdan ensimmäistä virkettä

on tulkittava siten, että

2)	Asetuksen 2016/679 15 artiklan 3 kohdan kolmatta virkettä on tulkittava siten, että siinä tarkoitettu tietojen käsite liittyy yksinomaan henkilötietoihin, joista rekisterinpitäjän on toimitettava jäljennös kyseisen kohdan ensimmäisen virkkeen mukaisesti.

Allekirjoitukset

( *1 ) Oikeudenkäyntikieli: saksa.