CELEX: 62001CJ0101
Direktiivi 95/46/EY
Soveltamisala
Henkilötietojen julkaiseminen Internetissä
Julkaisupaikka
Henkilötiedon käsite
Sananvapaus
Jäsenvaltion lainsäädännössä vahvistetun vahvemman henkilötietosuojan yhteensopivuus direktiivin 95/46/EY kanssa

Göta hovrätt on 23.2.2001 tekemällään päätöksellä, joka on saapunut yhteisöjen tuomioistuimeen 1.3.2001, esittänyt yhteisöjen
tuomioistuimelle EY 234 artiklan nojalla seitsemän ennakkoratkaisukysymystä erityisesti yksilöiden suojelusta henkilötietojen
käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24 päivänä lokakuuta 1995 annetun Euroopan parlamentin ja neuvoston
direktiivin 95/46/EY (EYVL L 281, s. 31) tulkinnasta.
Kysymykset on esitetty tässä kansallisessa tuomioistuimessa käytävässä rikosoikeudenkäynnissä Lindqvist-nimistä henkilöä vastaan.
Häntä syytetään siitä, että julkaisemalla omalla Internet-sivustollaan henkilötietoja henkilöistä, jotka ovat hänen kanssaan
vapaaehtoistyössä Ruotsin protestanttisen kirkon seurakunnan palveluksessa, hän on rikkonut henkilötietojen suojasta annettua
Ruotsin lainsäädäntöä.
Asiaa koskevat oikeussäännöt
Yhteisön lainsäädäntö
Direktiivin 95/46/EY tarkoituksena on sen 1 artiklan 1 kohdan mukaan se, että henkilötietojen käsittelyssä luonnollisille
henkilöille turvataan heidän perusoikeutensa ja -vapautensa ja erityisesti heidän oikeutensa yksityisyyteen.
Direktiivin 95/46/EY 3 artiklassa, joka koskee sen soveltamisalaa, säädetään seuraavaa:
1.
Tätä direktiiviä sovelletaan osittain tai kokonaan automatisoituun tietojenkäsittelyyn sekä sellaisten henkilötietojen manuaaliseen
käsittelyyn, jotka muodostavat rekisterin osan tai joiden on tarkoitus muodostaa rekisterin osa.
2.
Tätä direktiiviä ei sovelleta henkilötietojen käsittelyyn,
─
joka suoritetaan sellaisessa toiminnassa, joka ei kuulu yhteisön oikeuden soveltamisalaan, kuten toiminta, josta on määrätty
Euroopan unionista tehdyn sopimuksen V ja VI osastossa, ja kaikissa tapauksissa käsittely, joka koskee yleistä turvallisuutta,
puolustusta, valtion turvallisuutta (myös valtion taloudellista hyvinvointia, kun käsittelyoperaatio on sidoksissa valtion
turvallisuutta koskeviin kysymyksiin) ja rikosoikeuden alalla tapahtuvaa valtion toimintaa,
─
jonka luonnollinen henkilö suorittaa yksinomaan henkilökohtaisessa tai kotitalouttaan koskevassa toiminnassa.
Direktiivin 95/46/EY 8 artiklassa
Erityisiä tietoryhmiä koskeva tietojenkäsittely säädetään seuraavaa:
1.
Jäsenvaltioiden on kiellettävä sellaisten henkilötietojen käsittely, jotka koskevat rotua tai etnistä alkuperää, poliittisia
mielipiteitä, uskonnollista tai filosofista vakaumusta tai ammattiliittoon kuulumista, sekä terveyteen ja seksuaaliseen käyttäytymiseen
liittyvien tietojen käsittely.
2.
Edellä 1 kohtaa ei sovelleta, jos
a)
rekisteröity on antanut nimenomaisen suostumuksensa kyseiseen käsittelyyn, paitsi jos jäsenvaltion lainsäädännössä säädetään,
että 1 kohdassa tarkoitettua kieltoa ei voida poistaa rekisteröidyn suostumuksella, tai
b)
käsittely on tarpeen rekisterinpitäjän erityisten oikeuksien ja velvoitteiden noudattamiseksi työoikeuden alalla, siltä osin
kuin se sallitaan kansallisessa lainsäädännössä, jolla säädetään riittävistä suojatoimista,  tai
c)
käsittely on tarpeen rekisteröidyn tai jonkun toisen henkilön elintärkeiden etujen suojaamiseksi, jos rekisteröity on fyysisesti
tai juridisesti estynyt antamasta suostumustaan, tai
d)
käsittely suoritetaan poliittisen, filosofisen, uskonnollisen tai ammattiliittotoimintaan liittyvän säätiön, yhdistyksen tai
muun voittoa tavoittelemattoman yhteisön laillisen toiminnan yhteydessä ja asianmukaisin suojatoimin, sillä edellytyksellä,
että käsittely koskee ainoastaan näiden yhteisöjen jäseniä tai henkilöitä, joilla on yhteisöihin säännölliset, yhteisöjen
tarkoituksiin liittyvät yhteydet, ja että tietoja ei luovuteta sivullisille ilman rekisteröityjen suostumusta, tai
e)
käsittely koskee tietoja, jotka rekisteröity on nimenomaisesti saattanut julkisiksi, tai jos käsittely on tarpeen oikeusvaateen
laatimiseksi, esittämiseksi tai puolustamiseksi.
3.
Sitä, mitä 1 kohdassa säädetään, ei sovelleta, jos tietojenkäsittely on tarpeen ennalta ehkäisevää lääketiedettä tai lääketieteellisiä
diagnooseja koskevia tarkoituksia varten, hoidon tai käsittelyn suorittamista varten taikka terveydenhuollon palvelujen hallintoa
varten ja jos näitä tietoja käsittelee terveydenhuollon ammattikoulutuksen saanut henkilö, jota kansallinen lainsäädäntö tai
toimivaltaisten kansallisten viranomaisten asettama salassapitovelvollisuus koskee, tai jos tietoja käsittelee muu henkilö,
jolla on vastaava velvoite.
4.
Ottaen huomioon tarvittavat suojatoimet jäsenvaltiot voivat, tärkeää yleistä etua koskevasta syystä, toteuttaa muita kuin
2 kohdassa säädettyjä poikkeuksia joko kansallisella lailla tai valvontaviranomaisen päätöksellä.
5.
Rikoksiin, tuomioihin tai turvallisuutta koskeviin toimenpiteisiin liittyvää tietojenkäsittelyä voidaan suorittaa ainoastaan
julkisen viranomaisen valvonnassa tai, jos kansallisessa lainsäädännössä säädetään erityisistä tarpeellisista suojatoimista,
jäsenvaltion myöntämissä näiden suojatoimien kattamissa poikkeuksissa. Täydellistä rikosrekisteriä ei kuitenkaan saa pitää
kuin julkisen viranomaisen valvonnassa.
Jäsenvaltiot voivat säätää siitä, että myös hallinnollisiin sanktioihin tai siviiliprosesseihin liittyviä tietoja on käsiteltävä
julkisen viranomaisen valvonnassa.
6.
Komissiolle on ilmoitettava 4 ja 5 kohdan nojalla toteutetuista 1 kohdan poikkeuksista.
7.
Jäsenvaltioiden on määriteltävä olosuhteet, joiden vallitessa henkilönumeroa tai muuta yleistä tunnistetta voidaan käsitellä.
Direktiivin 95/46/EY 9 artiklassa
Henkilötietojen käsittely ja ilmaisuvapaus säädetään seuraavaa: Jäsenvaltioiden on säädettävä ainoastaan journalistisia tarkoituksia tai taiteellisen tai kirjallisen ilmaisun tarkoituksia
varten toteutettua henkilötietojen käsittelyä varten poikkeuksista ja vapautuksista tästä luvusta, IV luvusta ja VI luvusta,
ainoastaan jos ne osoittautuvat välttämättömiksi yksityisyyttä koskevan oikeuden ja ilmaisuvapautta koskevien sääntöjen yhteensovittamisessa.
Direktiivin 95/46/EY 13 artiklassa
Poikkeukset ja rajoitukset säädetään, että jäsenvaltiot voivat säätää rajoituksista tiettyihin direktiivillä henkilötietojen käsittelystä vastuussa
olevalle henkilölle asetettuihin velvoitteisiin, erityisesti rekisteröidyn henkilön tiedonsaannin osalta, jos rajoitukset
ovat välttämättömiä valtion turvallisuuden, puolustuksen, yleisen turvallisuuden, jäsenvaltiolle tai Euroopan unionille tärkeän
taloudellisen tai rahoituksellisen edun turvaamiseksi ja rikostutkinnan ja syyteharkinnan sekä säännellyn ammattitoiminnan
ammattietiikan rikkomusten vuoksi.
Direktiivin 95/46/EY IV luvussa
Henkilötietojen siirto kolmansiin maihin olevassa 25 artiklassa säädetään seuraavaa:
1.
Jäsenvaltioiden on säädettävä siitä, että käsiteltävien tai siirron jälkeen käsiteltäviksi tarkoitettujen henkilötietojen
siirto kolmanteen maahan voidaan suorittaa ainoastaan, jos kyseisessä kolmannessa maassa taataan tietosuojan riittävä taso,
jollei tämän direktiivin muiden säännösten mukaisesti säädetyistä kansallisista säännöksistä muuta johdu.
2.
Kolmannessa maassa taattavan tietosuojan tason riittävyyttä on arvioitava kaikkien tiettyyn siirtoon tai siirtojen ryhmään
liittyvien olosuhteiden osalta; erityisesti on otettava huomioon tietojen luonne, suunnitellun käsittelyn tai suunniteltujen
käsittelyjen tarkoitus ja kestoaika, alkuperämaa ja lopullinen kohde, kyseisessä kolmannessa maassa voimassa olevat yleiset
tai alakohtaiset oikeussäännöt sekä ammattisäännöt ja tässä maassa noudatettavat turvatoimet.
3.
Jäsenvaltioiden ja komission on informoitava toisiaan, jos ne arvioivat, että tietyssä kolmannessa maassa ei taata tietosuojan
riittävää tasoa 2 kohdan tarkoittamassa merkityksessä.
4.
Jos komissio 31 artiklan 2 kohdassa vahvistetun menettelyn mukaisesti toteaa, että tietyssä kolmannessa maassa ei taata tietosuojan
riittävää tasoa tämän artiklan 2 kohdassa tarkoitetussa merkityksessä, jäsenvaltioiden on toteutettava tarvittavat toimenpiteet
kyseiseen kolmanteen maahan kohdistuvien samanluonteisten siirtojen estämiseksi.
5.
Komissio aloittaa sopivalla hetkellä neuvottelut 4 kohdan mukaisesti tehdystä toteamuksesta aiheutuneen tilanteen korjaamiseksi.
6.
Komissio voi 31 artiklan 2 kohdassa vahvistetun menettelyn mukaisesti todeta, että tietyssä kolmannessa maassa taataan tietosuojan
riittävä taso tämän artiklan 2 kohdan tarkoittamassa merkityksessä, mikä johtuu kyseisen maan sisäisestä lainsäädännöstä tai
kansainvälisistä sitoumuksista, jotka on tehty erityisesti 5 kohdassa tarkoitettujen neuvottelujen yhteydessä henkilöiden
yksityiselämän ja perusoikeuksien ja -vapauksien turvaamiseksi.
Jäsenvaltioiden on toteutettava tarvittavat toimenpiteet noudattaakseen komission päätöstä.
Ruotsin kuningaskunta antoi direktiiviä 95/46/EY annettaessa sen 9 artiklaa koskevan julistuksen, joka liitettiin neuvoston
pöytäkirjaan (asiakirja nro 4649/95, 2.2.1995), jossa todetaan seuraavaa: Ruotsin tasavalta katsoo, että taiteellisen ja kirjallisen ilmaisun käsitteellä tarkoitetaan lähtökohtaisesti ilmaisukeinoja
eikä tiedonvälityksen sisältöä tai sen laatua.
Ihmisoikeuksien ja perusvapauksien suojaamisesta tehdyn, Roomassa 4.11.1950 allekirjoitetun yleissopimuksen (Euroopan neuvoston
ihmisoikeussopimus; jäljempänä Euroopan ihmisoikeussopimus) 8 artiklassa määrätään oikeudesta nauttia yksityis- ja perhe-elämän
kunnioitusta ja sen 10 artiklassa ovat sananvapautta koskevat määräykset.
Kansallinen lainsäädäntö
Direktiivi 95/46/EY pantiin täytäntöön Ruotsin kansallisessa oikeusjärjestyksessä personuppgiftslagilla, SFS 1998, nro 204
(henkilötietolaki).
Pääasia ja ennakkoratkaisukysymykset
Lindqvist on ollut Alsedan (Ruotsi) seurakunnassa siivoojan toimensa lisäksi mukana rippikoulun ohjaajien koulutuksessa. Hän
oli osallistunut tietojenkäsittelykurssiin, jossa hän oli joutunut muun muassa luomaan Internet-kotisivun. Vuoden 1998 lopulla
Lindqvist oli perustanut kotonaan omalla tietokoneellaan Internet-kotisivuja, joiden avulla rippikouluun valmistautuvat seurakuntalaiset
saisivat helposti tarvitsemiaan tietoja. Ruotsin kirkon Internet-kotisivusta vastaava henkilö oli perustanut linkin näiden
sivujen ja kotisivun välille.
Nyt kyseessä olevilla sivuilla oli tietoja Lindqvististä ja hänen 18 työtoveristaan seurakunnassa, heidän koko nimensä tai
joskus vain etunimensä. Lindqvist oli tämän lisäksi kuvaillut leikkisin sanakääntein työtovereidensa työtehtäviä ja harrastuksia.
Useissa tapauksissa oli mainittu henkilöiden perhesuhteet, heidän puhelinnumeronsa ja muita tietoja. Lindqvist oli lisäksi
ilmoittanut sivulla, että eräs hänen työtovereistaan oli loukannut jalkansa ja että hän oli tämän vuoksi osa-aikaisella sairaslomalla.
Lindqvist ei ollut ilmoittanut työtovereilleen näiden sivujen olemassaolosta tai pyytänyt heidän suostumustaan taikka ilmoittanut
tästä Datainspektionille (automaattisessa tietojenkäsittelyssä välitettyjen tietojen suojaa valvova viranomainen). Hän poisti
sivut heti, kun sai tietää tiettyjen työtoveriensa olevan niitä vastaan.
Yleinen syyttäjä nosti syytteen Lindqvistiä vastaan tietosuojalain rikkomisesta ja vaati, että hänen katsotaan syyllistyneen
─
henkilötietojen automaattiseen käsittelyyn ilman Datainspektionille tehtävää kirjallista ennakkoilmoitusta (henkilötietolain
36 §)
─
arkaluonteisten henkilötietojen automaattiseen käsittelyyn ilman asianomaisen henkilön suostumusta (henkilötietolain 13 §);
näitä olivat tiedot, jotka koskivat jalan loukkaantumista ja osa-aikaista sairaslomaa
─
luvattomasti käsiteltyjen henkilötietojen siirtämiseen kolmansiin maihin (henkilötietolain 33 §).
Lindqvist on myöntänyt tosiseikat, mutta kiistänyt syyllistyneensä lainvastaiseen tekoon. Eksjö tingsrätt (Ruotsi) tuomitsi
hänet sakkorangaistukseen, ja Lindqvist valitti tästä päätöksestä ennakkoratkaisupyynnön esittäneeseen tuomioistuimeen.
Sakko oli suuruudeltaan 4 000 Ruotsin kruunua (SEK). Hänelle oli määrätty hänen taloudellisen tilanteensa perusteella 100 SEK:n
suuruinen päiväsakko, joka oli kerrottu teon vakavuuden vuoksi 40:llä. Tämän lisäksi Lindqvist oli velvoitettu suorittamaan
300 SEK rikosten uhrien tukemiseksi perustetulle rahastolle.
Göta hovrätt totesi olevansa epävarma asiassa sovellettavan yhteisön oikeuden ja erityisesti direktiivin 95/46/EY tulkinnasta
ja päätti lykätä asian käsittelyä esittääkseen yhteisöjen tuomioistuimelle seuraavat ennakkoratkaisukysymykset:
1)
Onko henkilön mainitseminen ─ nimeltä tai nimeltä ja puhelinnumeron kanssa ─ niin sanotulla Internet-kotisivulla direktiivin
[95/46/EY] soveltamisalaan kuuluvaa menettelyä? Onko se, että itse laaditulla Internet-kotisivulla esitellään henkilöitä sekä
esitetään toteamuksia heidän työtehtävistään ja vapaa-ajan harrastuksistaan,
osittain tai kokonaan automatisoitua tietojenkäsittelyä?
2)
Jos vastaus edelliseen kysymykseen on kieltävä, voidaanko menettelyn, jossa Internet-kotisivulla laaditaan noin 15 henkilön
osalta erityiset sivut sivujen välisine linkkeineen, jotka mahdollistavat haun etunimen perusteella, katsoa olevan
sellaisten henkilötietojen [muuta] käsittelyä, jotka muodostavat rekisterin osan tai joiden on tarkoitus muodostaa rekisterin
osa 3 artiklan 1 kohdassa tarkoitetulla tavalla?
Jos vastaus jompaankumpaan kysymykseen on myöntävä, hovrätt esittää vielä seuraavat kysymykset:
3)
Voidaanko edellä kuvatunlaisen menettelyn, jossa tietoja työtovereista esitetään yksityisellä kotisivulla, johon on kuitenkin
pääsy kaikilla kotisivun osoitteen tuntevilla, katsoa jäävän direktiivin [95/46/EY] soveltamisalan ulkopuolelle jonkin 3 artiklan
2 kohdassa mainitun poikkeuksen perusteella?
4)
Onko kotisivulla esitetty tieto siitä, että nimeltä mainittu työtoveri on loukannut jalkansa ja on osa-aikaisella sairaslomalla,
sellainen terveyteen liittyvä henkilötieto, jota ei 8 artiklan 1 kohdan mukaan saa käsitellä?
5)
Direktiivin [95/46/EY] mukaan henkilötietojen siirto kolmansiin maihin on tietyissä tapauksissa kiellettävä. Jos henkilö Ruotsissa
tietokoneen avulla laittaa henkilötietoja kotisivulle, joka on luotu palvelimelle Ruotsissa ─ jolloin henkilötiedot ovat kolmansien
maiden kansalaisten käytettävissä ─, onko kyseessä direktiivissä [95/46/EY] tarkoitettu tietojen siirto kolmanteen maahan?
Onko vastaus sama, vaikka kenenkään ei kolmannessa maassa tiedetä todellisuudessa tutustuneen tietoihin tai vaikka kyseinen
palvelin sijaitsee fyysisesti kolmannessa maassa?
6)
Voidaanko direktiivin [95/46/EY] säännösten esillä olevan kaltaisessa tapauksessa katsoa merkitsevän rajoitusta, joka on vastoin
yleistä sananvapauden periaatetta taikka muita Euroopan unionissa voimassa olevia vapauksia ja oikeuksia, joista määrätään
muun muassa ihmisoikeuksien ja perusvapauksien suojaamiseksi tehdyn yleissopimuksen 10 artiklassa?
Hovrätt esittää lopuksi seuraavan kysymyksen:
7)
Voiko jäsenvaltiossa olla voimassa nyt esitetyissä kysymyksissä kuvatussa tilanteessa laajempi henkilötietosuoja tai voiko
sen soveltamisala olla direktiivin [95/46/EY] soveltamisalaa laajempi, vaikka kysymys ei olisi yhdestäkään 13 artiklassa tarkoitetuista
tapauksista?
Ensimmäinen kysymys
Kansallinen tuomioistuin pohtii ensimmäisessä kysymyksessään, onko sitä, että Internet-kotisivulla viitataan henkilöihin ja
yksilöidään heidät joko nimeltä tai muulla tavoin, kuten ilmoittamalla heidän puhelinnumeronsa tai antamalla tietoja heidän
työsuhteestaan ja harrastuksistaan, pidettävä direktiivin 95/46/EY 3 artiklan 1 kohdassa tarkoitettuna kokonaan tai osittain
automatisoituna henkilötietojen käsittelynä.
Yhteisöjen tuomioistuimelle esitetyt huomautukset
Lindqvistin mukaan on kohtuutonta katsoa, että pelkkä henkilön nimen tai henkilötietojen mainitseminen Internet-sivulla olevassa
tekstissä olisi automatisoitua tietojen käsittelyä. Tällaisten tietojen mainitseminen Internet-sivun meta-tageilla merkityissä
hakusanoissa, joiden avulla sivu luetteloidaan ja joiden avulla hakukone löytää kyseisen sivun, voi sitä vastoin olla tällaista
automatisoitua käsittelyä.
Ruotsin hallitus väittää, että
osittain tai kokonaan automatisoitu tietojenkäsittely, jota direktiivin 95/46/EY 3 artiklan 1 kohdassa tarkoitetaan, sisältää kaiken automaattisen tietojenkäsittelyn, eli kaiken
binäärimuodossa tapahtuvan käsittelyn. Näin ollen aina kun henkilötietoa käsitellään tietokoneella, olipa se sitten tekstinkäsittelyohjelmaa
käytettäessä tai tiedon siirtämiseksi Internet-sivulle, kyse on Ruotsin hallituksen mukaan direktiivin 95/46/EY alaan kuuluva
tietojen käsittely.
Alankomaiden hallitus esittää, että henkilötiedot laitetaan Internet-sivulle tietokoneen ja palvelimen avulla, mitä on pidettävä
automatisoinnille olennaisena luonteenpiirteenä, ja näin ollen on katsottava, että tiedot ovat olleet automatisoidun käsittelyn
kohteena.
Komissio väittää, että direktiiviä 95/46/EY sovelletaan kaikkeen sen 3 artiklassa tarkoitettuun henkilötietojen käsittelyyn
käytetyistä teknisistä välineistä riippumatta. Se katsoo, että henkilötietojen luovuttamista Internetiin on siis pidettävä
osittain tai kokonaan automatisoituna käsittelynä edellyttäen, ettei ole sellaisia teknisiä rajoituksia, jotka rajoittavat
käsittelyn puhtaasti manuaaliseksi toimenpiteeksi. Internet-sivu kuuluu komission mukaan jo luonteensa puolesta direktiivin
95/46/EY soveltamisalaan.
Yhteisöjen tuomioistuimen vastaus
Direktiivin 95/46/EY 3 artiklan 1 kohdassa käytetty henkilötietojen käsite pitää sisällään direktiivin 2 artiklan a alakohdassa
olevan määritelmän mukaisesti
kaikenlaisia tunnistettua tai tunnistettavissa olevaa luonnollista henkilöä koskevia tietoja. Käsite kattaa varmasti henkilön nimen, joka on ilmoitettu yhdessä hänen puhelinyhteystietojensa tai hänen työsuhteensa tai
harrastuksiensa kanssa.
Tällaisten tietojen käsittely, eli käsite, jota käytetään direktiivin 95/64/EY 3 artiklan 1 kohdassa, kattaa direktiivin 2 artiklan
b alakohdassa olevan määritelmän mukaisesti
kaikenlaiset sellaiset toiminnot tai toimintojen kokonaisuudet, joita kohdistetaan henkilötietoihin joko automaattisen tietojenkäsittelyn
avulla tai ─ ─ muutoin. Tässä säännöksessä mainitaan useita esimerkkejä tällaisista toiminnoista, joihin kuuluu tietojen luovuttaminen siirtämällä,
levittämällä tai asettamalla muutoin saataville. Tästä seuraa, että toimenpide, jolla henkilötiedot on laitettu Internet-sivulle,
on tässä tarkoitettua käsittelyä.
Vielä on ratkaistava se, onko käsittely osittain tai kokonaan automatisoitua. Todettakoon tässä, että tietojen laittaminen
Internet-sivulle edellyttää nykyisin käytettyjen teknisten ja tietojenkäsittelyllisten menetelmien mukaan sitä, että sivu
ladataan palvelimelle sekä toimenpiteitä, joiden avulla sivu saadaan Internet-yhteyden omaavien henkilöiden saataville. Nämä
toimenpiteet suoritetaan ainakin osittain automatisoidusti.
Ensimmäiseen kysymykseen on siis vastattava, että sitä, että Internet-kotisivulla viitataan henkilöihin ja yksilöidään heidät
joko nimeltä tai muulla tavoin, kuten ilmoittamalla heidän puhelinnumeronsa tai antamalla tietoja heidän työsuhteestaan ja
harrastuksistaan, on pidettävä direktiivin 95/46/EY 3 artiklan 1 kohdassa tarkoitettuna kokonaan tai osittain automatisoituna
henkilötietojen käsittelynä.
Toinen kysymys
Toiseen kysymykseen ei tarvitse vastata, koska ensimmäiseen kysymykseen on vastattu myöntävästi ja koska toinen kysymys oli
esitetty vain siltä varalta, että ensimmäiseen kysymykseen vastattaisiin kieltävästi.
Kolmas kysymys
Kansallisen tuomioistuimen kolmas kysymys koskee sitä, kuuluuko ensimmäisessä kysymyksessä tarkoitettu henkilötietojen käsittely
jonkin direktiivin 3 artiklan 2 kohdassa tarkoitetun poikkeuksen alaan.
Yhteisöjen tuomioistuimelle esitetyt huomautukset
Lindqvist väittää, että yksityinen henkilö, joka käyttäen sananvapauttaan luo Internet-sivun sellaisen toiminnan, jolla ei
tavoitella voittoa, tai vapaa-aikanaan, ei harjoita elinkeinotoimintaa ja jää näin yhteisön oikeuden soveltamisalan ulkopuolelle.
Jos yhteisöjen tuomioistuin päätyisi tuomiossaan vastakkaiseen ratkaisuun, olisi pohdittava direktiivin 95/46/EY pätevyyttä,
sillä sitä antaessaan yhteisöjen lainsäätäjä olisi tässä tapauksessa ylittänyt EY:n perustamissopimuksen 100 a artiklassa
(josta on muutettuna tullut EY 95 artikla) tarkoitetun toimivaltansa. Lainsäädännön lähentäminen, jonka tavoitteena on ollut
sisämarkkinoiden perustaminen ja niiden toiminta, ei voi olla oikeudellisena perustana sellaisille yhteisön toimille, joilla
säännellään yksityisten henkilöiden sananvapautta Internetissä.
Ruotsin hallitus väittää, että kun direktiivi 95/46/EY saatettiin osaksi Ruotsin kansallista oikeusjärjestystä, Ruotsin lainsäätäjä
katsoi, että henkilötietojen käsittelyä luonnollisen henkilön toimesta siten, että hän siirtää tietoja määrittelemättömälle
joukolle vastaanottajia esimerkiksi Internetin välityksellä ei voida pitää direktiivin 95/46/EY 3 artiklan 2 kohdan toisessa
luetelmakohdassa tarkoitettuna, yksinomaan
henkilökohtaisena tai henkilön kotitaloutta koskevana toimintana. Ruotsin hallitus ei kuitenkaan sulje pois sitä, että tämän kohdan ensimmäisessä luetelmakohdassa säädetty poikkeus koskee
niitä tapauksia, joissa luonnollinen henkilö julkaisee henkilötietoja Internet-sivulla yksinomaan sananvapauttaan käyttäessään
ja ilman, että kyse olisi millään tavoin ammatillisesta tai kaupallisesta toiminnasta.
Alankomaiden hallituksen mukaan pääasiassa kyseessä oleva automatisoitu tietojen käsittely ei kuulu direktiivin 95/46/EY 3 artiklan
2 kohdassa tarkoitettujen poikkeusten alaan. Erityisesti tämän kohdan toisessa luetelmakohdassa säädetyn poikkeuksen osalta
se toteaa, että Internet-sivun perustaja saattaa sivulle laitetut tiedot sellaisen henkilöjoukon saataville, jota ei lähtökohtaisesti
ole ennalta määritelty.
Komissio esittää, että pääasiassa kyseessä olevan kaltaisen Internet-sivun ei voida katsoa jäävän direktiivin 95/46/EY soveltamisalan
ulkopuolelle sen 3 artiklan 2 kohdan nojalla, vaan että sitä on pidettävä kyseisen sivun tarkoitus huomioon ottaen direktiivin
9 artiklassa tarkoitettuna taiteellisena tai kirjallisena teoksena.
Se katsoo, että direktiivin 95/46/EY 3 artiklan 2 kohdan ensimmäistä luetelmakohtaa voidaan tulkita kahdella eri tavalla.
Ensiksikin siten, että sillä rajoitetaan säännöksen alaa esimerkkeinä lueteltuihin alueisiin, eli toimintoihin, jotka kuuluvat
lähinnä toisen ja kolmannen pylvään alaan. Toinen tulkinta puolestaan olisi se, että direktiivin 95/46/EY soveltamisalan ulkopuolelle
jää kaikki toiminta, jota ei säännellä yhteisön oikeudessa.
Komissio väittää, että yhteisön oikeus ei koske pelkästään neljään perusvapauteen liittyvää taloudellista toimintaa. Direktiivin
95/46/EY oikeudelliseen perustaan, sen tarkoitukseen, EU 6 artiklaan, Nizzassa 18.12.2000 julistettuun Euroopan unionin perusoikeusasiakirjaan
(EYVL C 364, s. 1) ja yksilöiden suojelusta henkilötietojen automaattisessa tietojenkäsittelyssä 28.1.1981 tehtyyn Euroopan
neuvoston yleissopimukseen tukeutuen komissio esittää, että direktiivillä pyritään sääntelemään henkilötietojen vapaata liikkuvuutta
niin taloudellisena kuin yhteiskunnallisenakin toimintana yhdentymisen ja sisämarkkinoiden toiminnan yhteydessä.
Se lisää, että sellaisten Internet-sivujen, jotka eivät sisällä lainkaan kaupallisia tai palvelujen tarjoamiseen liittyviä
osia, sulkeminen yleisesti direktiivin 95/46/EY soveltamisalan ulkopuolelle voisi johtaa vaikeisiin rajaamisongelmiin. Suuri
osa Internet-sivuista, jotka sisältävät henkilötietoja ja joiden tarkoituksena on erottaa tietyt henkilöt määrättyjä erityisiä
tarkoituksia varten, voisivat näin joutua direktiivin soveltamisalan ulkopuolelle.
Yhteisöjen tuomioistuimen vastaus
Direktiivin 95/46/EY 3 artiklan 2 kohdassa säädetään kahdesta direktiivin soveltamisalaa koskevasta poikkeuksesta.
Ensimmäinen poikkeus koskee henkilötietojen käsittelyä, joka suoritetaan sellaisessa toiminnassa, joka ei kuulu yhteisön oikeuden
soveltamisalaan, kuten toiminta, josta on määrätty Euroopan unionista tehdyn sopimuksen V ja VI osastossa, ja kaikissa tapauksissa
käsittely, joka koskee yleistä turvallisuutta, puolustusta, valtion turvallisuutta (myös valtion taloudellista hyvinvointia,
kun käsittelyoperaatio on sidoksissa valtion turvallisuutta koskeviin kysymyksiin) ja rikosoikeuden alalla tapahtuvaa valtion
toimintaa.
Lindqvistin toimet, jotka pääasiassa on asetettu kyseenalaisiksi, ovat pääasiallisesti vapaaehtoistyöhön ja uskonnolliseen
eivätkä olennaisesti taloudelliseen toimintaan liittyviä, minkä vuoksi on selvitettävä, onko niitä pidettävä direktiivin 95/46/EY
3 artiklan 2 kohdan ensimmäisessä luetelmakohdassa tarkoitettuna henkilötietojen käsittelynä, joka
suoritetaan sellaisessa toiminnassa, joka ei kuulu yhteisön oikeuden soveltamisalaan.
Yhteisöjen tuomioistuin on todennut perustamissopimuksen 100 a artiklaan perustuvan direktiivin 95/46/EY osalta, että tämän
oikeudellisen perustan käyttäminen ei edellytä sitä, että kaikilla siihen perustuvassa toimenpiteessä tarkoitetuilla tilanteilla
olisi tosiasiallinen liittymä vapaaseen liikkuvuuteen jäsenvaltioiden välillä (ks. yhdistetyt asiat C-465/00, C-138/01 ja
C-139/01, Österreichischer Rundfunk ym., tuomio 20.5.2003, ei vielä julkaistu oikeustapauskokoelmassa, tuomion 41 kohta oikeuskäytäntöviittauksineen).
Päinvastaisella tulkinnalla saatettaisiin aiheuttaa se, että kyseisen direktiivin soveltamisalan rajat kävisivät erityisen
epävarmoiksi ja epäselviksi, mikä olisi ristiriidassa direktiivin oleellisen tavoitteen kanssa, joka on jäsenvaltioiden lakien,
asetusten ja hallinnollisten määräysten lähentäminen kansallisten lainsäädäntöjen erilaisuudesta aiheutuvien sisämarkkinoiden
toiminnan esteiden poistamiseksi (ks. em. asia Österreichischer Rundfunk ym., tuomion 42 kohta).
Näin ollen ei olisi asianmukaista tulkita ilmaisua
toiminta, joka ei kuulu yhteisön oikeuden soveltamisalaan, siten, että tapauskohtaisesti olisi tarpeen selvittää, vaikuttaako kyseessä oleva toiminta suoraan vapaaseen liikkuvuuteen
jäsenvaltioiden välillä.
Direktiivin 95/46/EY 3 artiklan 2 kohdan ensimmäisessä luetelmakohdassa mainitut toiminnat (toiminta, josta on määrätty Euroopan
unionista tehdyn sopimuksen V ja VI osastossa, sekä käsittely, joka koskee yleistä turvallisuutta, puolustusta, valtion turvallisuutta
ja rikosoikeuden alalla tapahtuvaa valtion toimintaa) ovat kaikki valtiolle tai valtion viranomaisille tyypillisiä toimintoja,
jotka eivät liity yksityisten henkilöiden toiminta-aloihin.
On siis katsottava, että direktiivin 95/46/EY 3 artiklan 2 kohdan ensimmäisessä luetelmakohdassa esimerkkeinä mainitut toiminnat
on tarkoitettu rajaamaan tässä säännöksessä säädetyn poikkeuksen soveltamisalaa niin, että poikkeusta sovelletaan vain toimintaan,
joka siinä on nimenomaisesti mainittu tai jonka voidaan katsoa kuuluvan samaan ryhmään (eiusdem generis; samanlajisuusperiaate).
Vapaaehtoinen tai uskonnollinen toiminta, jollaista Lindqvist harjoittaa, ei kuitenkaan ole rinnastettavissa direktiivin 95/46/EY
3 artiklan 2 kohdan ensimmäisessä luetelmakohdassa mainittuihin toimintoihin eikä se näin kuulu tämän poikkeuksen alaan.
Direktiivin 95/46/EY 3 artiklan 2 kohdan toisessa luetelmakohdassa säädetyn poikkeuksen osalta direktiivin 12 perustelukappaleessa,
joka koskee tätä poikkeusta, mainitaan esimerkkeinä luonnollisen henkilön suorittama tietojenkäsittely yksinomaan yksityisissä
tai henkilökohtaisissa asioissa, kuten kirjeenvaihto tai osoitteiston pitäminen.
Tätä poikkeusta on siis tulkittava niin, että se kohdistuu ainoastaan toimintaan, joka kuuluu yksityisen henkilön yksityis-
tai perhe-elämään, mistä ei ilmeisestikään ole kysymys sellaisessa henkilötietojen käsittelyssä, jossa tiedot julkaistaan
Internet-sivulla siten, että ne saatetaan ennalta määrittelemättömän henkilöryhmän saataville.
Kolmanteen kysymykseen on siis vastattava, että ensimmäisessä kysymyksessä mainitun kaltainen henkilötietojen käsittely ei
kuulu minkään direktiivin 95/46/EY 3 artiklan 2 kohdassa säädetyn poikkeuksen alaan.
Neljäs kysymys
Ennakkoratkaisupyynnön esittäneen tuomioistuimen neljäs kysymys koskee sitä, onko sen mainitsemista, että henkilö on loukannut
jalkansa ja on osa-aikaisella sairaslomalla, pidettävä direktiivin 8 artiklan 1 kohdassa tarkoitettuna terveyteen liittyvänä
henkilötietona.
Direktiivin tarkoitus huomioon ottaen sen 8 artiklan 1 kohdassa käytettyä ilmaisua
terveyteen liittyvät tiedot on tulkittava sillä tavoin laajasti, että se käsittää kaikki niin fyysiset kuin psyykkisetkin henkilön terveyteen liittyvät
tekijät.
Neljänteen kysymykseen on siis vastattava, että mainintaa siitä, että henkilö on loukannut jalkansa ja on osa-aikaisella sairaslomalla,
on pidettävä direktiivin 95/46/EY 8 artiklan 1 kohdassa tarkoitettuna terveyteen liittyvänä henkilötietona.
Viides kysymys
Ennakkoratkaisupyynnön esittänyt tuomioistuin pyrkii viidennellä kysymyksellään selvittämään, onko kyse direktiivin 95/46/EY
25 artiklassa tarkoitetusta
henkilötietojen siirrosta kolmansiin maihin silloin, kun tietyssä jäsenvaltiossa oleva henkilö laittaa henkilötietoja Internet-sivulle, joka on tallennettu sellaisen
luonnollisen tai oikeushenkilön palvelimelle, joka säilyttää sitä Internet-sivustoa, jolta kyseistä sivua voidaan lukea (hosting-palvelujen
tarjoaja) ja joka toimii samassa tai jossakin toisessa jäsenvaltiossa, saattaen tiedot näin kaikkien sellaisten henkilöiden
saataville, jotka kytkeytyvät Internetiin, kolmansissa maissa olevat henkilöt mukaan lukien. Tämä tuomioistuin kysyy lisäksi,
olisiko vastaus tähän kysymykseen sama siinä tapauksessa, että todellisuudessa yksikään kolmannen maan kansalainen ei ole
saanut näitä tietoja, tai että palvelin, jolle sivu on tallennettu, on fyysisesti kolmannessa maassa.
Yhteisöjen tuomioistuimelle esitetyt huomautukset
Komissio ja Ruotsin hallitus katsovat, että henkilötietojen laittaminen tietokoneella Internet-sivulle siten, että ne tulevat
näin kolmansien maiden kansalaisten saataville, on direktiivissä 95/46/EY tarkoitettua henkilötietojen siirtämistä. Vastaus
olisi niiden mukaan sama, vaikka yksikään kolmannen maan kansalainen ei olisi todellisuudessa saanut näitä tietoja tai palvelin,
jolle ne on tallennettu, olisi fyysisesti kolmannessa maassa.
Alankomaiden hallitus viittaa siihen, että siirron käsitettä ei ole määritelty direktiivissä 95/46/EY. Se katsoo, että käsite
on ymmärrettävä siten, että se koskee toimia, joilla tarkoituksellisesti pyritään siirtämään henkilötietoja jäsenvaltion alueelta
kolmannen maan alueelle, ja että merkitystä ei ole sillä, minkälaisissa eri muodoissa tiedot on saatettu kolmansien saataville.
Se katsoo tällä perusteella, että henkilötietojen laittamista Internet-sivulle tietokoneella ei voida pitää direktiivin 95/46/EY
25 artiklassa tarkoitettuna henkilötietojen siirtämisenä kolmanteen maahan.
Yhdistyneen kuningaskunnan hallitus esittää, että direktiivin 95/46/EY 25 artikla koskee tietojen siirtämistä kolmansiin maihin
eikä niiden saatavilla oloa kolmansissa maissa. Siirron käsite sisältää sen mukaan sitä, että henkilö välittää henkilötiedon
määrätystä paikasta kolmannelle henkilölle, joka on jossakin toisessa paikassa. Vain tällaisen siirron ollessa kyseessä direktiivin
95/46/EY 25 artikla velvoittaa jäsenvaltiot varmistumaan siitä, että henkilötiedot on asianmukaisesti suojattu kolmannessa
maassa.
Yhteisöjen tuomioistuimen vastaus
Direktiivin 95/46/EY 25 artiklassa eikä sen missään muussakaan, varsinkaan sen 2 artiklassa, ei määritellä käsitettä
siirto kolmansiin maihin.
Sen ratkaisemiseksi, onko henkilötietojen laittaminen Internet-sivulle direktiivin 95/46/EY 25 artiklassa tarkoitettua henkilötietojen
siirtoa kolmanteen maahan ainoastaan siksi, että ne tulevat sivulla kolmansissa maissa olevien henkilöiden saataville, on otettava
yhtäältä huomioon näin suoritettujen toimenpiteiden tekninen luonne ja toisaalta direktiivin IV luvun, jossa sen 25 artikla
on, tavoite ja yleinen systematiikka.
Internetissä oleviin tietoihin voi tutustua ennalta määrittelemätön joukko ihmisiä, jotka asuvat useissa eri paikoissa, ja
melkein milloin tahansa. Tietojen sijainnin universaalisuus johtuu ennen kaikkea siitä, että Internetin käyttäminen edellyttää
suhteellisen yksinkertaisia teknisiä välineitä, jotka tulevat koko ajan edullisemmiksi.
Internetiä käytettäessä niillä käyttötavoilla, jotka ovat tulleet yksityisten henkilöiden, kuten Lindqvistin, saataville 1990-luvulla,
Internetissä julkaistavaksi tarkoitetun sivun laatija välittää tiedot, joista sivu muodostuu, hosting-palvelujen tarjoajalle.
Tämä hoitaa tietojen tallentamisen ja Internet-kotisivun
majoittavan palvelimen kytkennän edellyttämää infrastruktuuria. Sen avulla tiedot voidaan välittää kaikille henkilöille, jotka ovat kytkeytyneet
Internetiin ja pyytävät saada tiedot. Tietokoneet, joista tämä tietojenkäsittelyllinen infrastruktuuri muodostuu, voivat sijaita
ja usein sijaitsevatkin yhdessä tai useammassa muussa maassa kuin siinä, jossa hosting-palvelujen tarjoaja toimii ilman, että
sen asiakkaat tietävät tai voisivat kohtuullisella vaivalla saada tietää siitä.
Asiakirja-aineistosta käy ilmi, että Internetin käyttäjän, joka haluaa saada tiedot Internet-sivuista, joille Lindqvist oli
laittanut työtovereitaan koskevia tietoja, on kytkeydyttävä ensin Internetiin ja suoritettava tämän jälkeen omatoimisesti
sivujen lukemisen edellyttämät toimet. Toisin sanoen Lindqvistin Internet-sivuilla ei ollut sellaisia teknisiä välineitä,
joiden avulla tiedot olisi voitu automaattisesti lähettää henkilöille, jotka eivät ole tarkoituksellisesti pyrkineet hakeutumaan
näille sivuille.
Tästä seuraa, että pääasiassa vallitsevan kaltaisissa olosuhteissa henkilötietoja, jotka saapuvat henkilön tietokoneelle kolmannessa
maassa henkilöltä, joka on ne ladannut Internet-kotisivulle, ei ole siirretty suoraan näiden kahden henkilön välillä vaan
sen hosting-palvelujen tarjoajan tietojenkäsittelyllisen infrastruktuurin välityksellä, jonne kotisivu on tallennettu.
Tässä yhteydessä on selvitettävä se, oliko yhteisön lainsäätäjän tarkoituksena, direktiivin 95/46/EY IV lukua sovellettaessa,
sisällyttää tämän direktiivin 25 artiklassa tarkoitetun käsitteen
henkilötietojen siirto kolmansiin maihin alaan Lindqvistin suorittamien toimien kaltaiset toimet. On huomattava, että ennakkoratkaisupyynnön esittäneen tuomioistuimen
viides kysymys koskee ainoastaan näitä toimia eikä lainkaan toimia, joita hosting-palvelujen tarjoajat suorittavat.
Direktiivin 95/46/EY IV luvussa, jossa sen 25 artikla on, perustetaan erityinen järjestelmä erityisine sääntöineen, jonka
tarkoituksena on turvata se, että jäsenvaltiot kykenevät valvomaan henkilötietojen siirtämistä kolmansiin maihin. Tässä luvussa
otetaan käyttöön järjestelmä, joka täydentää henkilötietojen käsittelyn laillisuutta koskevassa direktiivin II luvussa perustettua
yleistä järjestelmää.
Direktiivin 95/46/EY IV luvun tavoite on määritelty direktiivin 56─60 perustelukappaleessa, joissa todetaan muun muassa, että
vaikka yhteisössä tällä direktiivillä taattava yksilöiden tietosuoja ei estä henkilötietojen siirtoa kolmansiin maihin, jotka
voivat turvata tietosuojan riittävän tason, tätä riittävyyttä on arvioitava kaikki siirtoa tai siirtojen sarjaa koskevat olosuhteet
huomioon ottaen. Jos tietosuojan taso kolmannessa maassa ei ole riittävä, henkilötietojen siirto kyseiseen maahan on kiellettävä.
Direktiivin 95/46/EY 25 artiklassa asetetaan jäsenvaltioille ja komissiolle velvoitteita, joilla pyritään valvomaan henkilötietojen
siirtoa kolmansiin maihin ottaen huomioon kussakin tällaisessa maassa voimassa oleva tietosuoja.
Direktiivin 95/46/EY 25 artiklan 4 kohdassa säädetään erityisesti, että jos komissio toteaa, että tietyssä kolmannessa maassa
ei taata tietosuojan riittävää tasoa, jäsenvaltioiden on toteutettava tarvittavat toimenpiteet, jotta estettäisiin henkilötietojen
siirrot kyseiseen kolmanteen maahan.
Direktiivin 95/46/EY IV luvussa ei ole lainkaan säännöksiä Internetin käytöstä. Siinä ei varsinkaan täsmennetä niitä perusteita,
joiden mukaan voidaan valita hosting-palvelujen tarjoajan välityksellä suoritettujen toimenpiteiden osalta se, onko ratkaisu
perustettava palveluntarjoajan sijoittautumis- vai toimipaikkaan vai paikkaan, jossa palveluntarjoajan tietojenkäsittelyllisen
infrastruktuurin muodostavat tietokoneet sijaitsevat.
Kun otetaan huomioon Internetin kehitysaste silloin, kun direktiiviä 95/46/EY laadittiin, sekä se, että sen IV luvussa ei
ole Internetin käyttöön soveltuvia kriteereitä, ei voida olettaa yhteisöjen lainsäätäjän aikoneen tulevaisuuden varalta sisällyttää
käsitteeseen
henkilötietojen siirto kolmansiin maihin tilannetta, jossa Lindqvistin asemassa oleva henkilö laittaa henkilötietoja Internet-sivulle, vaikka tiedot saatetaankin
tällä tavoin sellaisten kolmansissa maissa olevien henkilöiden saataville, joilla on tähän tarvittavat tekniset välineet.
Jos direktiivin 95/46/EY 25 artiklaa tulkittaisiin siten, että kyse on henkilötietojen siirrosta kolmanteen maahan aina kun
henkilötietoja ladataan Internet-sivulle, kyse olisi välttämättä siirrosta kaikkiin sellaisiin kolmansiin maihin, joissa on
Internetiin pääsyn edellyttämät tekniset välineet. Direktiivin IV luvussa säädetty erityinen järjestelmä muuttuisi näin välttämättä
Internetissä suoritettujen toimenpiteiden osalta soveltamisalaltaan yleiseksi järjestelmäksi. Kun komissio toteaisi direktiivin
95/46/EY 25 artiklan 4 kohdan mukaisesti, että jo yhdessä kolmannessa maassa ei kyetä turvaamaan riittävää tietosuojaa, jäsenvaltioilla
olisi nimittäin heti velvollisuus estää kaikki henkilötietojen laittaminen Internetiin.
Näin ollen direktiivin 95/46/EY 25 artiklaa on tulkittava siten, että Lindqvistin suorittamien toimenpiteiden kaltaisia toimenpiteitä
ei ole sellaisenaan pidettävä henkilötietojen siirtona kolmanteen maahan. Ei siten ole tarpeen selvittää, onko kolmannessa
maassa asuva henkilö päässyt kyseessä olevalle Internet-sivulle tai sijaitseeko palveluntarjoajan palvelin fyysisesti kolmannessa
maassa.
Viidenteen kysymykseen on siis vastattava, että direktiivin 95/46/EY 25 artiklassa tarkoitetusta
henkilötietojen siirrosta kolmansiin maihin ei ole kyse silloin, kun tietyssä jäsenvaltiossa oleva henkilö laittaa henkilötietoja Internet-sivulle, joka on tallennettu
hosting-palvelujen tarjoajan palvelimelle, joka toimii samassa tai jossakin toisessa jäsenvaltiossa, saattaen tiedot näin
kaikkien sellaisten henkilöiden saataville, jotka kytkeytyvät Internetiin, kolmansissa maissa olevat henkilöt mukaan lukien.
Kuudes kysymys
Ennakkoratkaisupyynnön esittäneen tuomioistuimen kuudes kysymys koskee sitä, onko direktiivin 95/46/EY säännösten katsottava
sisältävän pääasiassa kyseessä olevan kaltaisessa tapauksessa sananvapautta koskevan yleisen periaatteen tai muiden, erityisesti
Euroopan ihmisoikeussopimuksen 10 artiklassa tarkoitettua oikeutta vastaavien Euroopan unionissa voimassa olevien oikeuksien
ja vapauksien, vastaisia rajoituksia.
Yhteisöjen tuomioistuimelle esitetyt huomautukset
Lindqvist viittaa muun muassa asiassa C-274/99 P, Connolly vastaan komissio, 6.3.2001 annettuun tuomioon (Kok. 2001, s. I-1611)
ja toteaa, että direktiivi 95/46/EY ja henkilötietolaki ovat yhteisön oikeudessa tunnustetun sananvapauden yleisen periaatteen
vastaisia, siltä osin kuin niissä säädetään etukäteen hankittavasta suostumuksesta ja valvontaviranomaiselle tehtävästä ennakkoilmoituksesta
sekä periaatteesta, jonka mukaan arkaluonteisten henkilötietojen käsittely on kiellettyä. Lisäksi hän väittää, että kokonaan
tai osittain automatisoidun henkilötietojen käsittelyn käsite ei täytä ennakoitavuuden ja täsmällisyyden vaatimuksia.
Lisäksi Lindqvistin mukaan pelkästään sitä, että luonnollinen henkilö mainitaan nimeltä, että hänen puhelinyhteystietonsa
ja toimenkuvansa ilmoitetaan ja annetaan tietoja hänen terveydentilastaan ja harrastuksistaan, eli tietoja, jotka hänen mielestään
ovat julkisia, yleisesti tunnettuja tai täysin triviaaleja, ei voida pitää olennaisena yksityiselämän suojan loukkaamisena.
Lindqvist katsoo, että tästä riippumatta direktiivissä 95/46/EY asetetut rajoitukset ovat suhteettomia yksityishenkilöiden
maineen ja yksityiselämän suojan tavoitteeseen nähden, johon direktiivillä pyritään.
Ruotsin hallitus katsoo, että direktiivin 95/46/EY mukaan kyseessä olevat intressit voidaan saattaa tasapainoon ja turvata
näin sekä sananvapaus että yksityiselämän suoja. Sen mukaan vain kansallinen tuomioistuin voi kussakin yksittäisessä tapauksessa
vallitsevat olosuhteet huomioon ottaen arvioida sitä, ovatko muiden henkilöiden nauttimien oikeuksien suojaa koskevien sääntöjen
soveltamisesta johtuvat rajoitukset oikeassa suhteessa sananvapauden käyttämiseen nähden.
Alankomaiden hallitus huomauttaa, että sekä sananvapaus että yksityiselämän suoja kuuluvat niihin yleisiin oikeusperiaatteisiin,
joiden noudattamisesta yhteisöjen tuomioistuin vastaa, ja että ihmisoikeussopimuksessa ei eri perusoikeuksia ole asetettu
hierarkkiseen arvojärjestykseen. Se katsoo tämän vuoksi, että kansallisen tuomioistuimen on pyrittävä sovittamaan yhteen kyseessä
olevat eri perusoikeudet esillä olevassa asiassa vallitsevat olosuhteet huomioon ottaen.
Yhdistyneen kuningaskunnan hallitus huomauttaa, että sen ehdotus vastaukseksi viidenteen kysymykseen, joka on esitetty tämän
tuomion 55 kohdassa, on täysin perusoikeuksien suojan mukainen ja että sen ehdotuksen avulla voidaan välttää puuttuminen sananvapauteen
suhteettoman laajasti. Tulkinta, joka johtaisi siihen, että henkilötietojen julkaiseminen tietyssä muodossa eli Internet-sivulla
joutuisi huomattavasti ankarampien rajoitusten kohteeksi kuin ne, joita sovelletaan muissa julkaisumuodoissa, kuten paperilla,
toteutettuihin julkaisuihin, olisi vaikeasti perusteltavissa.
Komissio väittää myös, että direktiivi 95/46/EY ei johda sananvapauden tai muiden, erityisesti ihmisoikeussopimuksen 10 artiklassa
tarkoitettuja vapauksia vastaavien Euroopan unionissa voimassa olevien oikeuksien tai vapauksien vastaisiin rajoituksiin.
Yhteisöjen tuomioistuimen vastaus
Direktiivin 95/46/EY 7 perustelukappaleesta käy ilmi, että sisämarkkinoiden luominen ja toiminta voi vakavasti vaikeutua henkilötietojen
käsittelyä koskevien kansallisten järjestelmien välisten erojen vuoksi. Direktiivin 3 perustelukappaleen mukaan kansallisten
järjestelmien yhdenmukaistamisen tavoitteena ei ole pelkästään henkilötietojen vapaa liikkuvuus jäsenvaltioiden välillä vaan
myös henkilöiden perusoikeuksien turvaaminen. Nämä tavoitteet voivat tietenkin olla ristiriidassa toistensa kanssa.
Yhtäältä sisämarkkinoiden toteuttamisesta ja toiminnasta aiheutuva taloudellinen ja sosiaalinen yhdentyminen johtaa välttämättä
henkilötietojen siirron tuntuvaan kasvuun kaikessa jäsenvaltioiden taloudellisessa ja sosiaalisessa toiminnassa niin yritysten
kuin jäsenvaltioiden viranomaistoiminnassakin. Tällaisessa toiminnassa olevilla toimijoilla on tietyssä määrin tarve käyttää
henkilötietoja liiketoimiensa toteuttamiseksi tai tehtäviensä suorittamiseksi sisämarkkinoiden muodostamalla alueella, jolla
ei ole sisäisiä rajoja.
Toisaalta henkilöt, joita henkilötietojen käsittely koskee, vaativat perustellusti, että tiedot suojataan tehokkaasti.
Näiden eri oikeuksien ja intressien välisen tasapainon turvaamiseksi käytettävät mekanismit löytyvät itse direktiivistä 95/46/EY,
kun siinä säädetään säännöistä, joiden perusteella ratkaistaan, missä tilanteissa ja missä määrin henkilötietojen käsittely
on lainmukaista ja minkälaisia turvatakeita on oltava olemassa. Toisaalta mekanismit perustuvat jäsenvaltioiden antamiin kansallisiin
säännöksiin, joilla direktiivi on pantu täytäntöön, ja siihen, että kansalliset viranomaiset soveltavat niitä.
Direktiivin 95/46/EY osalta todettakoon, että sen säännökset ovat välttämättä suhteellisen yleisiä, koska sitä on voitava
soveltaa suureen määrään hyvin erilaisia tilanteita. Lindqvistin väitteistä poiketen direktiivissä on täysin perustellusti
sääntöjä, jotka ovat luonteeltaan joustavia, ja siinä jätetään jäsenvaltioille useissa tapauksissa valta määrätä yksityiskohdista
tai valita eri vaihtoehtojen välillä.
Jäsenvaltioilla on monessa suhteessa ollut käytettävissään harkintavaltaa direktiivin 95/46/EY täytäntöön panemiseksi. Ei
kuitenkaan ole mitään syytä katsoa, että direktiivillä perustettu järjestelmä ei olisi ennakoitavissa tai että sen säännökset
olisivat sellaisenaan yhteisön oikeuden yleisten periaatteiden ja erityisesti yhteisön oikeusjärjestyksessä suojattujen perusoikeuksien
vastaisia.
Kyseessä olevien oikeuksien ja intressien välinen asianmukainen tasapaino onkin toteutettava pikemminkin toteutettaessa kansallisella
tasolla sitä kansallista sääntelyä, jolla direktiivi 95/46/EY pannaan täytäntöön.
Tässä yhteydessä perusoikeuksilla on erityinen merkitys, kuten voidaan havaita esillä olevasta asiasta, jossa tasapaino on
löydettävä yhtäältä Lindqvistin sananvapauden, jota hän on käyttänyt työssään rippikoululaisten ohjaajana, ja vapauden osallistua
uskonnolliseen toimintaan ja toisaalta niiden henkilöiden yksityiselämän suojan välillä, joita koskevia tietoja Lindqvist
oli laittanut Internet-sivulleen.
On siis jäsenvaltioiden tuomioistuinten tehtävänä tulkita kansallista oikeuttaan direktiivin 95/46/EY mukaisesti, minkä lisäksi
niiden on varottava perustamasta arviointiaan sellaiseen direktiivin tulkintaan, joka johtaisi ristiriitaan yhteisön oikeusjärjestyksessä
suojattujen perusoikeuksien kanssa tai muiden yhteisön oikeuden yleisten periaatteiden, kuten suhteellisuusperiaatteen, kanssa.
Vaikka yksityiselämän suoja edellyttää tehokkaiden sanktioiden soveltamista sellaisia henkilöitä kohtaan, jotka käsittelevät
henkilötietoja direktiivin 95/46/EY vastaisesti, on tällaisilla sanktioilla aina noudatettava suhteellisuusperiaatetta. Näin
on erityisesti siksi, että direktiivin 95/46/EY soveltamisala on erittäin laaja ja henkilötietojen käsittelyä suorittaville
henkilöille asetetut velvollisuudet ovat lukuisia ja huomattavia.
Suhteellisuusperiaatteen mukaan ennakkoratkaisupyynnön esittäneen tuomioistuimen on otettava huomioon kaikki sen käsiteltävässä
asiassa vallitsevat olosuhteet, muun muassa se, kuinka kauan direktiivin 95/46/EY täytäntöönpanevia säännöksiä on rikottu
sekä se, mikä merkitys julkaistujen tietojen suojaamisella on asianomaisille henkilöille.
Kuudenteen kysymykseen on siis vastattava, että direktiivin 95/46/EY säännökset eivät sellaisenaan sisällä sananvapautta koskevan
yleisen periaatteen tai muiden, erityisesti Euroopan ihmisoikeussopimuksen 10 artiklaa vastaavien Euroopan unionissa voimassa
olevien oikeuksien ja vapauksien vastaisia rajoituksia. Direktiivin 95/46/EY täytäntöönpanevan kansallisen sääntelyn soveltamisesta
vastaavien kansallisten viranomaisten ja tuomioistuinten tehtävänä on taata kyseessä olevien oikeuksien ja intressien, yhteisön
oikeusjärjestyksessä suojatut perusoikeudet mukaan lukien, välinen asianmukainen tasapaino.
Seitsemäs kysymys
Kansallisen tuomioistuimen seitsemäs kysymys koskee sitä, voivatko jäsenvaltiot säätää direktiiviä 95/46/EY vahvemmasta henkilötietojen
tietosuojasta tai suojan laajemmasta soveltamisalasta.
Yhteisöjen tuomioistuimelle esitetyt huomautukset
Ruotsin hallitus toteaa, että direktiivillä 95/46/EY ei vahvisteta pelkästään henkilötietojen vähimmäissuojaa. Jäsenvaltiot
ovat Ruotsin hallituksen mukaan velvollisia direktiivin täytäntöönpanon yhteydessä toteuttamaan direktiivissä vahvistetun
tasoisen suojan eikä niillä ole oikeutta säätää vahvemmasta tai heikommasta suojasta. Sen mukaan on kuitenkin otettava huomioon
jäsenvaltioilla oleva harkintavalta direktiivin täytäntöönpanossa, kun ne täsmentävät kansallisessa oikeudessaan yleiset lainmukaisuusedellytykset
henkilötietojen käsittelyn osalta.
Alankomaiden hallitus väittää, että direktiivi 95/46/EY ei estä sitä, että jäsenvaltiot säätävät tietyillä aloilla vahvemmasta
suojasta. Sen mukaan direktiivin 10 artiklasta, 11 artiklan 1 kohdasta, 14 artiklan ensimmäisen kohdan a alakohdasta, 17 artiklan
3 kohdasta, 18 artiklan 5 kohdasta ja 19 artiklan 1 kohdasta käy ilmi, että jäsenvaltiot voivat säätää laajemmasta suojasta.
Jäsenvaltiot voivat lisäksi vapaasti soveltaa direktiivin 95/46/EY periaatteita toimintaan, joka ei kuulu direktiivin soveltamisalaan.
Komissio katsoo, että direktiivi 95/46/EY perustuu perustamissopimuksen 100 a artiklaan, ja jos jäsenvaltio haluaa pitää voimassa
tai ottaa käyttöön lainsäädännön, joka poikkeaa tällaisesta lainsäädäntöjen yhdenmukaistamista koskevasta direktiivistä, sen
on ilmoitettava tästä komissiolle EY 95 artiklan 4 tai 5 kohdan mukaisesti. Komissio väittää tämän vuoksi, että jäsenvaltio
ei voi säätää laajemmasta henkilötietojen tietosuojasta tai sen laajemmasta soveltamisalasta kuin mitä direktiivissä säädetään.
Yhteisöjen tuomioistuimen vastaus
Direktiivillä 95/46/EY pyritään, kuten sen 8 perustelukappaleesta käy ilmi, saattamaan henkilöiden oikeuksien ja vapauksien
suoja henkilötietojen käsittelyn osalta samalle tasolle kaikissa jäsenvaltioissa. Sen 10 perustelukappaleessa todetaan lisäksi,
että sovellettavien kansallisten lainsäädäntöjen lähentäminen ei saa johtaa lainsäädännöllä turvattavan tietosuojan heikentymiseen,
vaan sillä on päinvastoin varmistettava tietosuojan korkea taso yhteisössä.
Näiden kansallisten lainsäädäntöjen yhdenmukaistaminen ei siis jää pelkästään vähimmäistasolle, vaan johtaa yhdenmukaistamiseen,
joka on lähtökohtaisesti täydellinen. Juuri tätä silmällä pitäen direktiivillä 95/46/EY pyritään toteuttamaan henkilötietojen
vapaa liikkuvuus takaamalla samalla korkeatasoinen suoja niiden henkilöiden oikeuksille ja vapauksille, joita tiedot koskevat.
On totta, että direktiivissä 95/46/EY tunnustetaan jäsenvaltioiden toimintamarginaali tietyillä alueilla ja sallitaan niiden
pitää voimassa tai ottaa käyttöön erityisiä järjestelmiä erityisten tilanteiden varalta, kuten direktiivin useista eri säännöksistä
voidaan havaita. Tällaisia mahdollisuuksia on kuitenkin käytettävä direktiivissä 95/46/EY säädetyllä tavalla ja sen tavoitteen
mukaisesti, joka koskee henkilötietojen vapaan liikkuvuuden ja yksityiselämän suojan välisen tasapainon säilyttämistä.
Mikään ei sitä vastoin estä sitä, että jäsenvaltio laajentaa sen kansallisen lainsäädännön alaa, jolla direktiivi 95/46/EY
pannaan täytäntöön, aloihin, jotka eivät kuulu direktiivin soveltamisalaan, ellei jokin muu yhteisön oikeussääntö tätä estä.
Nämä seikat huomioon ottaen seitsemänteen kysymykseen on vastattava, että toimenpiteiden, jotka jäsenvaltiot toteuttavat henkilötietojen
tietosuojan toteuttamiseksi, on oltava direktiivin 95/46/EY säännösten ja direktiivin sen tavoitteen mukaisia, joka koskee
henkilötietojen vapaan liikkuvuuden ja yksityiselämän suojan välisen tasapainon säilyttämistä. Mikään ei sitä vastoin estä
sitä, että jäsenvaltio laajentaa sen kansallisen lainsäädännön alaa, jolla direktiivi 95/46/EY pannaan täytäntöön, aloihin,
jotka eivät kuulu direktiivin soveltamisalaan, ellei jokin muu yhteisön oikeussääntö tätä estä.
Oikeudenkäyntikulut
Yhteisöjen tuomioistuimelle huomautuksensa esittäneille Ruotsin, Alankomaiden ja Yhdistyneen kuningaskunnan hallituksille
ja komissiolle sekä EFTAn valvontaviranomaiselle aiheutuneita oikeudenkäyntikuluja ei voida määrätä korvattaviksi. Pääasian
asianosaisten osalta asian käsittely yhteisöjen tuomioistuimessa on välivaihe kansallisessa tuomioistuimessa vireillä olevan
asian käsittelyssä, minkä vuoksi kansallisen tuomioistuimen asiana on päättää oikeudenkäyntikulujen korvaamisesta.
Näillä perusteilla
YHTEISÖJEN TUOMIOISTUIN
on ratkaissut Göta hovrättin 23.2.2001 tekemällään päätöksellä esittämät kysymykset seuraavasti:
1)
Sitä, että Internet-kotisivulla viitataan henkilöihin ja yksilöidään heidät joko nimeltä tai muulla tavoin, kuten ilmoittamalla
heidän puhelinnumeronsa tai antamalla tietoja heidän työsuhteestaan ja harrastuksistaan, on pidettävä yksilöiden suojelusta
henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24 päivänä lokakuuta 1995 annetun Euroopan parlamentin
ja neuvoston direktiivin 95/46/EY 3 artiklan 1 kohdassa tarkoitettuna kokonaan tai osittain automatisoituna henkilötietojen
käsittelynä.
2)
Tällainen henkilötietojen käsittely ei kuulu minkään direktiivin 95/46/EY 3 artiklan 2 kohdassa säädetyn poikkeuksen alaan.
3)
Mainintaa siitä, että henkilö on loukannut jalkansa ja on osa-aikaisella sairaslomalla, on pidettävä direktiivin 95/46/EY
8 artiklan 1 kohdassa tarkoitettuna terveyteen liittyvänä henkilötietona.
4)
Direktiivin 95/46/EY 25 artiklassa tarkoitetusta
henkilötietojen siirrosta kolmansiin maihin ei ole kyse silloin, kun tietyssä jäsenvaltiossa oleva henkilö laittaa henkilötietoja Internet-sivulle, joka on tallennettu
sellaisen luonnollisen tai oikeushenkilön palvelimelle, joka säilyttää sitä Internet-sivustoa, jolta kyseistä sivua voidaan
lukea ja joka toimii samassa tai jossakin toisessa jäsenvaltiossa, saattaen tiedot näin kaikkien sellaisten henkilöiden saataville,
jotka kytkeytyvät Internetiin, kolmansissa maissa olevat henkilöt mukaan lukien.
5)
Direktiivin 95/46/EY säännökset eivät sellaisenaan sisällä sananvapautta koskevan yleisen periaatteen tai muiden, erityisesti
ihmisoikeuksien ja perusvapauksien suojaamisesta tehdyn, Roomassa 4.11.1950 allekirjoitetun yleissopimuksen 10 artiklaa vastaavien
Euroopan unionissa voimassa olevien oikeuksien ja vapauksien vastaisia rajoituksia. Direktiivin 95/46/EY täytäntöönpanevan
kansallisen sääntelyn soveltamisesta vastaavien kansallisten viranomaisten ja tuomioistuinten tehtävänä on taata kyseessä
olevien oikeuksien ja intressien, yhteisön oikeusjärjestyksessä suojatut perusoikeudet mukaan lukien, välinen asianmukainen
tasapaino.
6)
Toimenpiteiden, jotka jäsenvaltiot toteuttavat henkilötietojen tietosuojan toteuttamiseksi, on oltava direktiivin 95/46/EY
säännösten ja direktiivin sen tavoitteen mukaisia, joka koskee henkilötietojen vapaan liikkuvuuden ja yksityiselämän suojan
välisen tasapainon säilyttämistä. Mikään ei sitä vastoin estä sitä, että jäsenvaltio laajentaa sen kansallisen lainsäädännön
alaa, jolla direktiivi 95/46/EY pannaan täytäntöön, aloihin, jotka eivät kuulu direktiivin soveltamisalaan, ellei jokin muu
yhteisön oikeussääntö tätä estä.
Jann
Timmermans
Gulmann
Cunha Rodrigues
Rosas
Edward
Puissochet
Macken
von Bahr
Julistettiin Luxemburgissa 6 päivänä marraskuuta 2003.
R. Grass
V. Skouris
kirjaaja
presidentti
–
Oikeudenkäyntikieli: ruotsi.