CELEX: 62007CJ0518
Jäsenyysvelvoitteiden noudattamatta jättäminen
Direktiivi 95/46/EY
Yksilöiden suojelu henkilötietojen käsittelyssä ja näiden tietojen vapaa liikkuvuus
28 artiklan 1 kohta
Kansalliset valvontaviranomaiset
Itsenäisyys
Näihin viranomaisiin kohdistettu hallinnollinen valvonta

Euroopan yhteisöjen komissio vaatii kanteessaan unionin tuomioistuinta toteamaan, että Saksan liittotasavalta ei ole noudattanut
yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annetun Euroopan
parlamentin ja neuvoston direktiivin 95/46/EY (EYVL L 281, s. 31) 28 artiklan 1 kohdan toisen alakohdan mukaisia velvoitteitaan,
kun se on asettanut valtion valvonnan alaiseksi valvontaviranomaiset, jotka ovat toimivaltaisia valvomaan henkilötietojen
käsittelyä muulla kuin julkisella sektorilla eri osavaltioissa, ja pannut näin ollen virheellisesti täytäntöön näiden tietojen
suojan takaamisesta vastaavien viranomaisten ”täydellisen itsenäisyyden” vaatimuksen.

Asiaa koskevat oikeussäännöt

Yhteisön säännöstö
Direktiivi 95/46 annettiin EY:n perustamissopimuksen 100 a artiklan (josta tuli muutettuna EY 95 artikla) nojalla, ja sen
tarkoituksena on henkilötietojen käsittelyä koskevan kansallisen lainsäädännön yhdenmukaistaminen.
Direktiivin 3, 7, 8, 10 ja 62 perustelukappaleessa todetaan seuraavaa:
”(3)      sellaisten sisämarkkinoiden toteuttaminen ja toiminta, joilla taataan tavaroiden, henkilöiden, palvelujen ja pääomien vapaa
liikkuvuus [EY:n] perustamissopimuksen 7 a artiklan [(josta on muutettuna tullut EY 14 artikla)] mukaisesti, edellyttävät
paitsi sitä, että henkilötietoja voidaan vapaasti siirtää jäsenvaltioiden sisällä, myös yksilöiden perusoikeuksien turvaamista;
– –
(7)      henkilötietojen käsittelyä koskevat jäsenvaltioiden väliset erot yksilöiden oikeuksien ja vapauksien suojassa, erityisesti
oikeudessa yksityisyyteen, voivat estää kyseisten tietojen siirron tietyn jäsenvaltion alueelta toisen jäsenvaltion alueelle;
tämän vuoksi nämä erot voivat muodostua esteeksi monelle yhteisön taloudelliselle toiminnalle, vääristää kilpailua ja estää
viranomaisia suorittamasta yhteisön oikeuden mukaisia velvollisuuksiaan; nämä suojaa koskevat erot johtuvat kansallisten lakien,
asetusten ja hallinnollisten määräysten välisistä eroista;
(8)      henkilötietojen liikkuvuuden esteiden poistamiseksi yksilöiden oikeuksien ja vapauksien suojan tason kyseisten tietojen käsittelyssä
on oltava sama kaikissa jäsenvaltioissa; ottaen huomioon erityisesti asiaan sovellettavien kansallisten lainsäädäntöjen tämänhetkiset
eroavaisuudet ja tarve yhteensovittaa jäsenvaltioiden lainsäädännöt, jotta henkilötietojen kansainvälistä kulkua säänneltäisiin
yhdenmukaisella tavalla ja perustamissopimuksen 7 a artiklassa tarkoitetun sisämarkkinoiden tavoitteen mukaisesti, tätä sisämarkkinoiden
kannalta erityisen tärkeää tavoitetta ei voida saavuttaa ainoastaan jäsenvaltioiden toiminnalla; tämän vuoksi lainsäädäntöjen
lähentämiseen pyrkivä yhteisön toiminta on tarpeen;
– –
(10) henkilötietojen käsittelyä koskevien kansallisten lainsäädäntöjen tavoitteena on taata perusoikeuksien ja -vapauksien
kunnioittaminen, erityisesti yksityisyyttä koskevan oikeuden kunnioittaminen, joka tunnustetaan myös ihmisoikeuksien ja perusvapauksien
suojaamiseksi tehdyn [Roomassa 4.11.1950 allekirjoitetun] Euroopan yleissopimuksen 8 artiklassa ja yhteisön oikeuden yleisissä
periaatteissa; tämän vuoksi lainsäädäntöjen lähentäminen ei saa johtaa lainsäädännöllä turvattavan tietosuojan heikentymiseen,
vaan sillä on päinvastoin varmistettava tietosuojan korkea taso yhteisössä;
– –
(62)      jäsenvaltioissa itsenäisesti toimivien valvontaviranomaisten perustaminen on keskeinen tekijä yksilöiden suojelussa henkilötietojen
käsittelyssä.”
Direktiivin 95/46 1 artiklassa, jonka otsikko on ”Direktiivin tavoite”, säädetään seuraavaa:
”1. Tämän direktiivin mukaisesti jäsenvaltioiden on henkilötietojen käsittelyssä turvattava yksilöille heidän perusoikeutensa
ja -vapautensa ja erityisesti heidän oikeutensa yksityisyyteen.
2. Jäsenvaltiot eivät voi rajoittaa tai kieltää henkilötietojen vapaata liikkuvuutta jäsenvaltioiden välillä syistä, jotka
liittyvät 1 kohdan mukaisesti turvattavaan suojaan.”
Direktiivin 95/46 28 artiklassa, jonka otsikko on ”Valvontaviranomainen”, säädetään seuraavaa:
”1. Kunkin jäsenvaltion on säädettävä siitä, että jäsenvaltioiden tämän direktiivin mukaisesti toteuttamien toimenpiteiden
soveltamista sen alueella valvoo yksi tai useampi julkinen viranomainen.
Näiden viranomaisten on hoidettava tehtäviään itsenäisesti.
2. Kunkin jäsenvaltion on säädettävä siitä, että valvontaviranomaisia kuullaan henkilöiden oikeuksien ja vapauksien suojaamista
henkilötietojen käsittelyssä koskevia lainsäädännöllisiä ja hallinnollisia toimenpiteitä suunniteltaessa.
3. Kullakin valvontaviranomaisella on erityisesti oltava:
–        tutkintavaltuudet, kuten valtuudet saada käsiteltäviä tietoja ja kerätä kaikki valvontatehtävänsä suorittamiseksi tarvittavat
tiedot,
–        tehokkaat toimintavaltuudet, kuten esimerkiksi valtuudet 20 artiklan mukaisesti antaa lausuntoja ennen käsittelyn toteuttamista
ja varmistaa näiden lausuntojen asianmukainen julkistaminen taikka valtuudet määrätä tietojen suojaamisesta, poistamisesta
tai tuhoamisesta tai kieltää käsittely väliaikaisesti tai lopullisesti taikka valtuudet antaa rekisterinpitäjälle huomautus
tai varoitus taikka valtuudet saattaa asioita käsiteltäväksi kansalliselle parlamentille tai muille poliittisille elimille,
–        valtuudet olla asianosaisena oikeudenkäynnissä, jos tämän direktiivin mukaisesti toteutettuja kansallisia toimenpiteitä rikotaan,
tai valtuudet saattaa nämä rikkomukset lainkäyttöviranomaisten tietoon.
Valvontaviranomaisen päätöksistä, jotka antavat aihetta valituksiin, voi valittaa tuomioistuimeen.
4. Kuka tahansa henkilö tai häntä edustava yhdistys voi esittää valvontaviranomaiselle oikeuksiensa ja vapauksiensa suojelua
henkilötietojen käsittelyn osalta koskevan vaateen. Rekisteröidylle ilmoitetaan vaateen seurauksista.
Kuka tahansa henkilö voi erityisesti esittää valvontaviranomaiselle vaateen käsittelyn laillisuuden tarkastamisesta sovellettaessa
tämän direktiivin 13 artiklan mukaisesti toteutettuja kansallisia toimenpiteitä. Joka tapauksessa henkilölle on ilmoitettava,
että tarkastus on suoritettu.
5. Valvontaviranomaisen on laadittava kertomus toiminnastaan säännöllisin väliajoin. Kyseinen kertomus on julkistettava.
6. Riippumatta kyseessä olevaan käsittelyyn sovellettavasta kansallisesta oikeudesta valvontaviranomainen on toimivaltainen
käyttämään jäsenvaltionsa alueella valtuuksia, jotka sille kuuluvat 3 kohdan mukaisesti. Toisen jäsenvaltion viranomainen
voi pyytää valvontaviranomaista käyttämään valtuuksiaan.
Valvontaviranomaisten on oltava yhteistyössä keskenään siinä määrin kuin on tarpeen tehtäviensä suorittamiseksi, erityisesti
vaihtamalla hyödyllisiä tietoja.
7. Jäsenvaltioiden on säädettävä siitä, että valvontaviranomaisten jäsenillä ja henkilöstöllä on myös toimintansa päättymisen
jälkeen velvollisuus pitää salassa luottamukselliset tiedot.”
Yksilöiden suojelusta yhteisöjen toimielinten ja elinten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta
liikkuvuudesta 18.12.2000 annettu Euroopan parlamentin ja neuvoston asetus (EY) N:o 45/2001 (EYVL 2001, L 8, s. 1) annettiin
EY 286 artiklan nojalla. Tämän asetuksen 44 artiklan 1 ja 2 kohdassa säädetään seuraavaa:
”1. Euroopan tietosuojavaltuutettu hoitaa tehtäviään täysin riippumattomana.
2. Tehtäviään hoitaessaan Euroopan tietosuojavaltuutettu ei pyydä eikä ota ohjeita miltään taholta.”

Kansallinen säännöstö
Saksan lainsäädännössä tehdään ero siltä osin kuin kysymys on yksilöiden suojelusta henkilötietojen käsittelyssä sen mukaan,
käsittelevätkö tietoja julkiset elimet vai eivät.
Yhtäältä sen valvominen, että julkiset elimet noudattavat tämän alan säännöksiä ja määräyksiä, ja toisaalta sen valvominen,
että muut kuin julkiset elimet ja julkisoikeudelliset yritykset, jotka osallistuvat kilpailuun markkinoilla (öffentlich-rechtliche
Wettbewerbsunternehmen) (jäljempänä yhdessä muu kuin julkinen sektori) noudattavat niitä, ovat näet eri viranomaisten tehtävänä.
Liittovaltion julkisten elinten suorittamaa henkilötietojen käsittelyä valvoo Bundesbeauftragter für den Datenschutz und die
Informationsfreiheit (tietosuojan ja vapaan tiedonvälityksen liittovaltionvaltuutettu), ja osavaltioiden julkisten elinten
osalta sitä valvovat Landesdatenschutzbeauftragte (osavaltion tietosuojavaltuutetut). Kaikki nämä valtuutetut ovat vastuussa
ainoastaan kukin parlamentilleen, eikä heidän valvontaansa asetetuilla julkisilla elimillä tavallisesti ole heihin nähden
valvontavaltaa, ohjeidenantovaltaa eikä muuta vaikutusvaltaa.
Muun kuin julkisen sektorin suorittaman henkilötietojen käsittelyn valvonnasta vastaavien viranomaisten rakenne sitä vastoin
vaihtelee osavaltioittain. Osavaltioiden laeille on kuitenkin yhteistä se, että niissä nimenomaisesti asetetaan nämä viranomaiset
valtion valvonnan alaisuuteen.

Oikeudenkäyntiä edeltänyt menettely ja oikeudenkäynti unionin tuomioistuimessa
Koska komissio katsoi, että sellaisten viranomaisten, joiden tehtävänä on valvoa yksityishenkilöiden suojelua koskevien säännösten
noudattamista muun kuin julkisen sektorin suorittamassa henkilötietojen käsittelyssä, asettaminen valtion valvonnan alaisuuteen
– kuten kaikissa Saksan osavaltioissa – on direktiivin 95/46 28 artiklan 1 kohdan toisen alakohdan vastaista, se osoitti 5.7.2005
Saksan liittotasavallalle virallisen huomautuksen. Viimeksi mainittu vastasi 12.9.2005 päivätyllä kirjeellä todeten, että
alan valvontajärjestelmä Saksassa on kyseisen direktiivin vaatimusten mukainen. Komissio osoitti tämän jälkeen 12.12.2006
Saksan liittotasavallalle perustellun lausunnon, jossa se toisti aiemmin esittämänsä väitteen. Saksan liittotasavalta toisti
14.2.2007 päivätyssä vastauksessaan alkuperäisen näkemyksensä.
Näissä olosuhteissa komissio päätti nostaa nyt käsiteltävänä olevan kanteen.
Yhteisöjen tuomioistuimen presidentin 14.10.2008 antamalla määräyksellä Euroopan tietosuojavaltuutettu hyväksyttiin asiassa
väliintulijaksi tukemaan komission vaatimuksia.

Kanne

Asianosaisten ja muiden osapuolten lausumat
Käsiteltävänä olevassa asiassa on kysymys kahdesta vastakkaisesta näkemyksestä, jotka komissiolla, jota Euroopan tietosuojavaltuutettu
tukee, ja Saksan liittotasavallalla on direktiivin 95/46 28 artiklan 1 kohdan toisessa alakohdassa esiintyvästä ilmaisusta
”itsenäisesti” ja yksilöiden suojelusta henkilötietojen käsittelyssä vastaavien valvontaviranomaisten tehtävien hoitamisesta.
Komissio ja Euroopan tietosuojavaltuutettu, jotka tulkitsevat laajasti ilmaisua ”itsenäisesti”, katsovat, että vaatimusta
siitä, että valvontaviranomaisten on hoidettava tehtäväänsä itsenäisesti, on tulkittava siten, että valvontaviranomaisia on
varjeltava kaikelta vaikuttamiselta, oli se sitten lähtöisin muilta viranomaisilta tai hallinnon ulkopuolisilta tahoilta.
Valtion valvonta, jonka alaiseksi Saksassa on asetettu viranomaiset, jotka valvovat yksilöiden suojelua henkilötietojen käsittelyssä
koskevan säännöstön noudattamista muulla kuin julkisella sektorilla, merkitsee, että tätä vaatimusta ei ole noudatettu.
Saksan liittotasavalta puolestaan puoltaa ilmaisun ”itsenäisesti” suppeampaa tulkintaa ja katsoo, että direktiivin 95/46 28
artiklan 1 kohdan toisessa alakohdassa edellytetään valvontaviranomaisten toiminnallista itsenäisyyttä siten, että näiden
viranomaisten on oltava riippumattomia valvontansa kohteena olevasta muusta kuin julkisesta sektorista ja että ne eivät saa
olla alttiina ulkopuoliselle vaikuttamiselle. Sen mukaan valtion Saksan osavaltioissa harjoittama valvonta ei sellaisenaan
ole ulkopuolista vaikuttamista vaan hallinnon sisäinen valvontamekanismi, jonka täytäntöönpanijoina ovat valvontaviranomaisten
kanssa samaan hallintokoneistoon kuuluvat viranomaiset, joiden on ensin mainittujen tavoin täytettävä direktiivin 95/46 tavoitteet.

Unionin tuomioistuimen arviointi asiasta
Valvontaviranomaisten itsenäisyyttä koskevan vaatimuksen ulottuvuus
Käsiteltävänä olevan kanteen perusteltavuus riippuu direktiivin 95/46 28 artiklan 1 kohdan toisessa alakohdassa tarkoitetun
itsenäisyyden vaatimuksen ulottuvuudesta ja näin ollen tämän säännöksen tulkinnasta. Tässä yhteydessä on otettava huomioon
itse säännöksen sanamuoto sekä direktiivin 95/46 tavoitteet ja rakenne.
Siltä osin kuin ensiksi on kysymys direktiivin 95/46 28 artiklan 1 kohdan toisen alakohdan sanamuodosta on todettava, että
koska siinä ei ole määritelty ilmaisua ”itsenäisesti”, ilmaisu on ymmärrettävä tavanomaisessa merkityksessään. Julkisen elimen
kannalta itsenäisyys tarkoittaa tavallisesti asemaa, joka takaa kyseiselle elimelle mahdollisuuden toimia täysin vapaasti
suojattuna kaikilta ohjeilta ja kaikelta painostukselta.
Toisin kuin Saksan liittotasavalta katsoo, mikään ei osoita, että itsenäisyyden vaatimus koskisi ainoastaan valvontaviranomaisten
ja niiden valvontaan asetettujen elinten välistä suhdetta. Päinvastoin itsenäisyyden käsitettä on direktiivin ranskankielisessä
versiossa vahvistettu adverbilla [”toute”] [suomeksi ”täysin”; puuttuu direktiivin suomenkielisestä versiosta], mikä merkitsee
päätösvaltaa, joka on suojattu kaikelta valvontaviranomaisen ulkopuoliselta vaikuttamiselta, oli se sitten suoraa tai välillistä.
Siltä osin kuin toiseksi on kysymys direktiivin 95/46 tavoitteista erityisesti direktiivin johdanto-osan kolmannesta, seitsemännestä
ja kahdeksannesta perustelukappaleesta seuraa, että kun direktiivillä yhdenmukaistetaan yksilöiden suojelua henkilötietojen
käsittelyssä koskevia kansallisia sääntöjä, sillä pyritään pääasiallisesti varmistamaan henkilötietojen vapaa liikkuvuus yhteisössä
(ks. vastaavasti yhdistetyt asiat C-465/00, C-138/01 ja C-139/01, Österreichischer Rundfunk ym., tuomio 20.5.2003, Kok., s.
I-4989, 39 ja 70 kohta), mikä on tarpeen EY 14 artiklan 2 kohdassa tarkoitettujen sisämarkkinoiden perustamisen ja toiminnan
kannalta.
Henkilötietojen vapaa liikkuvuus voi kuitenkin vahingoittaa yksityisyyden suojaa, sellaisena kuin se on tunnustettu erityisesti
ihmisoikeuksien ja perusvapauksien suojaamiseksi tehdyn yleissopimuksen 8 artiklassa (ks. vastaavasti asia Amann v. Sveitsi,
Euroopan ihmisoikeustuomioistuimen tuomio 16.2.2000, Recueil des arrêts et décisions 2000-II, 69 ja 80 § ja asia Rotaru v.
Romania, Euroopan ihmisoikeustuomioistuimen tuomio 4.5.2000, Recueil des arrêts et décisions 2000-V, 43 ja 46 §) ja yhteisön
oikeuden yleisissä periaatteissa.
Tästä syystä ja kuten erityisesti direktiivin 95/46 kymmenennestä perustelukappaleesta ja 1 artiklasta ilmenee, direktiivillä
ei myöskään pyritä heikentämään olemassa olevilla kansallisilla säännöillä annettavaa suojaa vaan päinvastoin takaamaan yhteisössä
perusvapauksien ja -oikeuksien suojan korkea taso henkilötietojen käsittelyssä (ks. vastaavasti em. yhdistetyt asiat Österreichischer
Rundfunk ym., tuomion 70 kohta ja asia C-73/07, Satakunnan Markkinapörssi ja Satamedia, tuomio 16.12.2008, Kok., s. I-9831,
52 kohta).
Direktiivin 95/46 28 artiklassa tarkoitetut valvontaviranomaiset ovat siis näiden perusoikeuksien ja -vapauksien vartijoita,
ja niiden perustamista jäsenvaltioissa pidetään, kuten tämän direktiivin 62 perustelukappaleesta ilmenee, keskeisenä tekijänä
yksilöiden suojelussa henkilötietojen käsittelyssä.
Tämän suojelun varmistamiseksi valvontaviranomaisten on huolehdittava siitä, että yhtäältä oikeutta yksityisyyteen koskevan
perusoikeuden kunnioittamisen ja toisaalta henkilötietojen vapaata liikkuvuutta edellyttävien intressien välillä saavutetaan
oikea tasapaino. Direktiivin 95/46 28 artiklan 6 kohdan nojalla eri kansallisten viranomaisten on lisäksi oltava yhteistyössä
keskenään ja tarvittaessa käytettävä valtuuksiaan toisen jäsenvaltion viranomaisen pyynnöstä.
Kansallisten valvontaviranomaisten itsenäisyyden takaamisella pyritään varmistamaan yksilöiden suojelua henkilötietojen käsittelyssä
koskevien säännösten ja määräysten noudattamisen valvonnan tehokkuus ja luotettavuus, ja sitä on tulkittava tämän tavoitteen
valossa. Sitä ei ole otettu käyttöön sen vuoksi, että itse näille viranomaisille tai niiden toimihenkilöille annettaisiin
erityinen asema, vaan sen vuoksi, että niille henkilöille ja elimille, joita niiden päätökset koskevat, annettavaa suojaa
vahvistettaisiin. Tästä seuraa, että valvontaviranomaisten on tehtäviään hoitaessaan toimittava objektiivisesti ja puolueettomasti.
Tässä tarkoituksessa niiden on oltava suojattuna kaikelta ulkopuoliselta vaikuttamiselta, myös suoralta tai välilliseltä vaikuttamiselta
valtion tai osavaltioiden taholta, ei ainoastaan valvottavien elinten taholta.
Siltä osin kuin kolmanneksi on kysymys direktiivin 95/46 rakenteesta, direktiivi on ymmärrettävä EY 286 artiklaa ja asetusta
N:o 45/2001 vastaavaksi. Viimeksi mainitut koskevat yhteisön toimielinten ja elinten suorittamaa henkilötietojen käsittelyä
ja näiden tietojen vapaata liikkuvuutta. Kyseisellä direktiivillä pyritään myös näihin tavoitteisiin mutta siltä osin kuin
kysymys on näiden tietojen käsittelystä jäsenvaltioissa.
Samoin kuin kansallisella tasolla on valvontaelimiä myös yhteisön tasolla on säädetty yksilöiden suojelusta henkilötietojen
käsittelyssä vastaavasta valvontaelimestä eli Euroopan tietosuojavaltuutetusta. Asetuksen N:o 45/2001 44 artiklan 1 kohdan
mukaan tämä elin hoitaa tehtäviään täysin riippumattomana. Kyseisen artiklan 2 kohdassa selkeytetään tämä riippumattomuuden
käsite lisäämällä, että tehtäviään hoitaessaan Euroopan tietosuojavaltuutettu ei pyydä eikä ota ohjeita miltään taholta.
Kun otetaan huomioon, että asetuksen N:o 45/2001 44 artikla ja direktiivin 95/46 28 artikla perustuvat samaan yleiskäsitteeseen,
näitä kahta säännöstä on tulkittava yhteneväisesti siten, että sekä Euroopan tietosuojavaltuutetun että kansallisten viranomaisten
riippumattomuus tarkoittavat niiden tehtävien hoitamista koskevien ohjeiden poissulkemista.
Kun nojaudutaan itse direktiivin 95/46 28 artiklan 1 kohdan toisen alakohdan sanamuotoon sekä direktiivin tavoitteisiin ja
rakenteeseen, päästään kyseisen 28 artiklan 1 kohdan toisen alakohdan selkeään tulkintaan. Tämän vuoksi on tarpeetonta ottaa
huomioon kyseisen direktiivin syntyhistoriaa tai lausua komission ja Saksan liittotasavallan tältä osin esittämistä ristiriitaisista
toteamuksista.
Kun otetaan huomioon kaikki edellä esitetty, direktiivin 95/46 28 artiklan 1 kohdan toista alakohtaa on tulkittava siten,
että valvontaviranomaisten, jotka ovat toimivaltaisia valvomaan henkilötietojen käsittelyä muulla kuin julkisella sektorilla,
on oltava itsenäisiä siten, että ne voivat suorittaa tehtävänsä vapaina ulkoisesta vaikuttamisesta. Tämä itsenäisyys sulkee
pois paitsi kaiken vaikuttamisen valvonnan kohteena olevien elinten taholta myös kaikki sellaiset määräykset ja kaiken muun
ulkoisen vaikuttamisen, olipa se sitten suoraa tai välillistä, jotka saattaisivat asettaa kyseenalaiseksi sen, että nämä viranomaiset
täyttävät tehtävänsä, joka on oikean tasapainon saavuttaminen yksityisyyden suojan ja henkilötietojen vapaan liikkuvuuden
välillä.
Valtion valvonta
Tämän jälkeen on syytä tarkastella, onko valtion valvonta, jonka alaiseksi Saksassa on asetettu valvontaviranomaiset, jotka
valvovat muun kuin julkisen sektorin suorittamaa henkilötietojen käsittelyä, yhteensopiva tällä tavoin täsmennetyn itsenäisyyden
vaatimuksen kanssa.
Tältä osin on todettava, että valtion valvonta, olipa se minkä luonteista hyvänsä, mahdollistaa lähtökohtaisesti sen, että
asianomaisen osavaltion hallitus tai tämän hallituksen alainen hallintoelin vaikuttaa suoraan tai välillisesti valvontaviranomaisen
päätöksiin tai tarvittaessa kumoaa ja korvaa nämä päätökset.
On tosin lähtökohtaisesti myönnettävä, kuten Saksan liittotasavalta väittää, että valtion valvonnan tarkoituksena on vain
taata, että valvontaviranomaisten toiminta on sovellettavien kansallisen oikeuden ja yhteisön oikeuden säännösten ja määräysten
mukaista, ja että sen tavoitteena ei näin ollen ole pakottaa näitä viranomaisia mahdollisesti pyrkimään sellaisiin poliittisiin
päämääriin, jotka ovat vastoin yksilöiden suojelua henkilötietojen käsittelyssä ja vastoin perusoikeuksia.
Ei kuitenkaan voida pitää poissuljettuna sitä, että valtion valvovat viranomaiset, jotka ovat osa yleistä hallintoa ja ovat
näin ollen kukin osavaltionsa hallituksen alaisia, eivät kykene toimimaan objektiivisesti tulkitessaan ja soveltaessaan henkilötietojen
käsittelyä koskevia säännöksiä ja määräyksiä.
Kuten Euroopan tietosuojavaltuutettu toteaa huomautuksissaan, asianomaisen osavaltion hallituksen intressissä saattaa olla
yksilöiden suojelua henkilötietojen käsittelyssä koskevien säännösten ja määräysten noudattamatta jättäminen, kun näitä tietoja
käsittelee muu kuin julkinen sektori. Tämä hallitus voi itse olla osapuolena tässä käsittelyssä, jos se osallistuu tai voisi
osallistua siihen esimerkiksi julkisen ja yksityisen sektorin yhteistyön tapauksissa tai tehtäessä julkisia hankintoja yksityisen
sektorin kanssa. Kyseisellä hallituksella voi olla myös erityinen intressi, jos sille on välttämätöntä tai pelkästään hyödyllistä
päästä tietokantoihin tiettyjen tehtäviensä suorittamiseksi erityisesti verotuksen tai rikosoikeudellisen menettelyn yhteydessä.
Hallituksella voi myös olla taipumus asettaa taloudelliset intressit etusijalle, kun osavaltiolle tai alueelle taloudellisesti
tärkeät yhtiöt soveltavat näitä säännöksiä ja määräyksiä.
On lisäksi korostettava, että pelkästään riski siitä, että valtion valvovat viranomaiset voivat vaikuttaa poliittisesti valvontaviranomaisten
päätöksiin, riittää estämään sen, että viimeksi mainitut voisivat suorittaa tehtävänsä itsenäisesti. Yhtäältä on niin, että
kuten komissio toteaa, ne saattavat ikään kuin ennakoiden noudattaa valtion valvovien viranomaisten päätöskäytäntöä. Toisaalta
valvontaviranomaisten rooli yksityisyyden suojan vartijoina edellyttää, että niiden päätökset – ja siis ne itse – ovat kaiken
puolueellisuutta koskevan epäilyn yläpuolella.
Edellä esitetyn perusteella on todettava, että valvonta, jota valtio harjoittaa niihin Saksan valvontaviranomaisiin nähden,
jotka ovat toimivaltaisia valvomaan henkilötietojen käsittelyä muulla kuin julkisella sektorilla, ei ole yhteensopiva itsenäisyyden
vaatimuksen kanssa, sellaisena kuin se on kuvattuna tämän tuomion 30 kohdassa.
Yhteisön oikeuden periaatteet, joihin Saksan liittotasavalta on vedonnut
Saksan liittotasavalta on väittänyt, että direktiivin 95/46 28 artiklan 1 kohdan toisen alakohdan mukaisen itsenäisyyden vaatimuksen
tulkitseminen siten, että se pakottaa tämän jäsenvaltion luopumaan hyväksi koetusta ja tehokkaasta valvontaviranomaisten valvontaa
koskevasta järjestelmästä siltä osin kuin kysymys on henkilötietojen käsittelystä muulla kuin julkisella alalla, olisi vastoin
useita yhteisön oikeusperiaatteita.
Tämä jäsenvaltio katsoo ensiksi, että erityisesti kansanvallan periaate on esteenä kyseisen itsenäisyyden vaatimuksen tulkitsemiselle
laajasti.
Tämä periaate, joka on vahvistettu paitsi Saksan perustuslaissa myös EU 6 artiklan 1 kohdassa, edellyttää sen mukaan, että
hallinto on parlamentille vastuussa olevan hallituksen ohjeiden alainen. Puuttumisen kansalaisten ja yritysten oikeuksiin
on oltava toimivaltaisen ministerin laillisuusvalvonnan alaista. Koska yksilöiden suojelua henkilötietojen käsittelyssä valvovilla
viranomaisilla on direktiivin 95/46 28 artiklan 3 kohdan nojalla tiettyjä puuttumisvaltuuksia kansalaisiin ja muuhun kuin
julkiseen sektoriin nähden, niiden toiminnan laillisuuden laajennettu valvonta laillisuusvalvonnan tai harkintavallan käyttöä
koskevan valvonnan keinoin on ehdottoman välttämätöntä.
Tältä osin on palautettava mieleen, että kansanvallan periaate kuuluu yhteisön oikeusjärjestykseen ja se on nimenomaisesti
vahvistettu EU 6 artiklan 1 kohdassa yhdeksi Euroopan unionin perustaksi. Se on jäsenvaltioille yhteisenä periaatteena otettava
huomioon direktiivin 95/46 28 artiklan kaltaisen johdetun oikeuden säännöksen tulkinnassa.
Tämä periaate ei estä sitä, että olemassa on klassisen hallintohierarkian ulkopuolisia viranomaisia, jotka ovat enemmän tai
vähemmän riippumattomia hallituksesta. Tällaisten viranomaisten olemassaolo ja toimintaedellytykset kuuluvat jäsenvaltioissa
lain tai joissakin jäsenvaltioissa jopa perustuslain säännösten alaan, ja kyseisten viranomaisten on noudatettava lakia toimivaltaisten
tuomioistuinten valvonnassa. Tällaisilla riippumattomilla hallintoviranomaisilla, joita sitä paitsi on Saksan oikeusjärjestyksessä,
on usein sääntelytehtäviä, tai ne suorittavat tehtäviä, jotka on varjeltava poliittiselta vaikutukselta, mutta ne ovat kuitenkin
velvollisia noudattamaan lakia toimivaltaisten tuomioistuinten valvonnassa. Juuri tällaisia ovat valvontaviranomaisten tehtävät,
kun kysymys on yksilöiden suojelusta henkilötietojen käsittelyssä.
On tosin mahdotonta ajatella, että näihin viranomaisiin ei kohdistuisi mitään parlamentaarista vaikutusta. On kuitenkin todettava,
että direktiivissä 95/46 ei millään tavoin vaadita jäsenvaltioilta tällaisen parlamentaarisen vaikutuksen sulkemista pois.
Yhtäältä parlamentti tai hallitus voi siis nimittää henkilöt valvontaviranomaisten johtotehtäviin. Toisaalta lainsäätäjä voi
määritellä näiden viranomaisten toimivallan.
Lainsäätäjä voi lisäksi velvoittaa valvontaviranomaiset tekemään selon toiminnastaan parlamentille. Tältä osin voidaan tehdä
vertailu direktiivin 95/46 28 artiklan 5 kohdan kanssa, jossa säädetään, että valvontaviranomaisen on laadittava toiminnastaan
säännöllisin väliajoin kertomus, joka julkaistaan.
Kun otetaan huomioon edellä esitetty, se, että yksilöiden suojelua henkilötietojen käsittelyssä muulla kuin julkisella sektorilla
valvoville valvontaviranomaisille annetaan yleisestä hallinnosta riippumaton asema, ei itsessään poista näiltä viranomaisilta
niiden demokraattista legitimiteettiä.
Toiseksi EY 5 artiklan ensimmäisessä kohdassa vahvistettu rajoitetun erityistoimivallan periaate, johon Saksan liittotasavalta
myös vetoaa, velvoittaa yhteisön toimimaan ainoastaan sille EY:n perustamissopimuksella annetun toimivallan ja asetettujen
tavoitteiden rajoissa.
Saksan liittotasavalta väittää tässä yhteydessä, että EY:n perustamissopimuksen 100 a artiklan perusteella, jonka nojalla
direktiivi 95/46 on annettu, ei voida edellyttää, että valvontaviranomaiset ovat riippumattomia ylemmistä hallintoviranomaisista.
Kyseisessä määräyksessä annetaan yhteisön lainsäätäjälle toimivalta antaa toimia sisämarkkinoiden toteuttamista ja toimintaa
koskevien edellytysten parantamiseksi, ja näillä toimilla on tosiasiallisesti oltava tämä tarkoitus siten, että niillä edistetään
EY:n perustamissopimuksessa taattujen taloudellisten vapauksien esteiden poistamista (ks. vastaavasti mm. asia C-376/98, Saksa
v. parlamentti ja neuvosto, tuomio 5.10.2000, Kok., s. I-8419, 83, 84 ja 95 kohta; asia C-491/01, British American Tobacco
(Investments) ja Imperial Tobacco, tuomio 10.12.2002, Kok., s. I-11453, 60 kohta ja asia C-436/03, parlamentti v. neuvosto,
tuomio 2.5.2006, Kok., s. I-3733, 38 kohta).
Kuten on jo todettu, valvontaviranomaisten itsenäisyys siltä osin, että niitä on varjeltava kaikelta ulkoiselta vaikuttamiselta,
joka voi ohjata niiden päätöksiä, on keskeinen tekijä direktiivin 95/46 tavoitteiden perusteella. On välttämätöntä luoda kaikissa
jäsenvaltioissa yhtä korkea yksilöiden suojelun taso henkilötietojen käsittelyssä ja myötävaikuttaa tällä tavoin tietojen
vapaaseen liikkuvuuteen, mikä on välttämätöntä sisämarkkinoiden perustamisen ja toiminnan kannalta.
Edellä esitetty huomioon ottaen valvontaviranomaisten itsenäisyyttä koskevan vaatimuksen tulkitseminen laajasti ei ylitä sen
toimivallan rajoja, joka yhteisölle on annettu EY:n perustamissopimuksen 100 a artiklan nojalla, joka on direktiivin 95/46
oikeudellinen perusta.
Saksan liittotasavalta vetoaa kolmanneksi EY 5 artiklan toisessa ja kolmannessa kohdassa vahvistettuihin toissijaisuus- ja
suhteellisuusperiaatteeseen sekä EY 10 artiklassa vahvistettuun jäsenvaltioiden ja yhteisön toimielinten välisen lojaalin
yhteistyön periaatteeseen.
Se muistuttaa erityisesti Euroopan unionista tehtyyn sopimukseen ja EY:n perustamissopimukseen Amsterdamin sopimuksella liitetyn
toissijaisuus- ja suhteellisuusperiaatteen soveltamisesta tehdyn pöytäkirjan 7 kohdasta, jonka mukaan yhteisön lainsäädännön
noudattamisen ohella olisi huolehdittava siitä, että noudatetaan vakiintuneita kansallisia järjestelyjä ja jäsenvaltioiden
oikeusjärjestelmien rakenteita ja toimintaa.
Olisi sen mukaan tämän vaatimuksen vastaista velvoittaa Saksan liittotasavalta ottamaan käyttöön sen oikeusjärjestykselle
vieras järjestelmä ja siis hylkäämään tehokas valvontajärjestelmä, joka on koettu hyväksi lähes kolmenkymmenen vuoden ajan
ja joka oli laajemmin kuin kansallisella tasolla vaikuttaneena esimerkkinä tietosuojaa koskevan lainsäädännön alalla.
Näitä väitteitä ei voida hyväksyä. Kuten tämän tuomion 21–25 ja 50 kohdassa on jo todettu, direktiivin 95/46 28 artiklan 1
kohdan toisessa alakohdassa vahvistetun itsenäisyyden vaatimuksen tulkitseminen siten, että se on esteenä valtion valvonnalle,
ei ylitä sitä, mikä on tarpeen EY:n perustamissopimuksen tavoitteiden saavuttamiseksi.
Näin ollen on kaikki edellä esitetyt seikat huomioon ottaen todettava, että Saksan liittotasavalta ei ole noudattanut direktiivin
95/46 28 artiklan 1 kohdan toisen alakohdan mukaisia velvoitteitaan, kun se on asettanut valtion valvonnan alaiseksi valvontaviranomaiset,
jotka ovat toimivaltaisia valvomaan muun kuin julkisen sektorin suorittamaa henkilötietojen käsittelyä eri osavaltioissa,
ja pannut näin ollen virheellisesti täytäntöön vaatimuksen siitä, että näiden viranomaisten on hoidettava tehtäviään ”itsenäisesti”.

Oikeudenkäyntikulut
Työjärjestyksen 69 artiklan 2 kohdan mukaan asianosainen, joka häviää asian, velvoitetaan korvaamaan oikeudenkäyntikulut,
jos vastapuoli on sitä vaatinut. Koska komissio on vaatinut Saksan liittotasavallan velvoittamista korvaamaan oikeudenkäyntikulut
ja koska Saksan liittotasavalta on hävinnyt asian, se on velvoitettava korvaamaan oikeudenkäyntikulut.
Euroopan tietosuojavaltuutettu vastaa omista oikeudenkäyntikuluistaan.
Näillä perusteilla unionin tuomioistuin (suuri jaosto) on ratkaissut asian seuraavasti:
1)
Saksan liittotasavalta ei ole noudattanut yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta
24.10.1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY 28 artiklan 1 kohdan toisen alakohdan mukaisia velvoitteitaan,
kun se on asettanut valtion valvonnan alaiseksi valvontaviranomaiset, jotka ovat toimivaltaisia valvomaan muiden kuin julkisten
elinten ja julkisoikeudellisten yritysten, jotka osallistuvat kilpailuun markkinoilla (öffentlich-rechtliche Wettbewerbsunternehmen),
suorittamaa henkilötietojen käsittelyä eri osavaltioissa, ja pannut näin ollen virheellisesti täytäntöön vaatimuksen siitä,
että näiden viranomaisten on hoidettava tehtäviään ”itsenäisesti”.
2)
Saksan liittotasavalta velvoitetaan korvaamaan Euroopan komission oikeudenkäyntikulut.
3)
Euroopan tietosuojavaltuutettu vastaa omista oikeudenkäyntikuluistaan.
Allekirjoitukset
*
Oikeudenkäyntikieli: saksa.