62023CJ0200_RES
Asia C-200/23
Agentsia po vpisvaniyata
vastaan
OL
(Ennakkoratkaisupyyntö – Varhoven administrativen sad)
Unionin tuomioistuimen tuomio (ensimmäinen jaosto) 4.10.2024
Ennakkoratkaisupyyntö – Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus (EU) 2016/679 – Henkilötietoja sisältävän yhtiösopimuksen julkistaminen kaupparekisterissä – Direktiivi (EU) 2017/1132 – Henkilötiedot, jotka eivät ole pakollisia – Rekisteröidyn suostumuksen puuttuminen – Oikeus tietojen poistamiseen – Aineeton vahinko
Sijoittautumisvapaus – Yhtiöt – Direktiivi 2017/1132 – Jäsenvaltion velvollisuus sallia henkilötietoja sisältävän yhtiösopimuksen julkistaminen kaupparekisterissä – Sellaisten tietojen julkistaminen, joiden julkistamista ei edellytetä kansallisessa lainsäädännössä – Velvollisuuden puuttuminen
(Euroopan parlamentin ja neuvoston direktiivin 2017/1132 21 artiklan 2 kohta)
(ks. 54, 55 ja 60 kohta sekä tuomiolauselman 1 kohta)
Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus 2016/679 – Rekisterinpitäjän käsite – Henkilötietojen vastaanottajan käsite – Jäsenvaltion kaupparekisterin pitämisestä vastaava viranomainen, joka julkistaa yhtiösopimukseen sisältyviä henkilötietoja – Kuuluminen rekisterinpitäjän ja vastaanottajan käsitteen alaan – Sopimus, joka sisältää henkilötietoja, joita ei edellytetä direktiivissä 2017/1132 tai kansallisessa lainsäädännössä – Vaikutuksettomuus
(Euroopan parlamentin ja neuvoston asetuksen 2016/679 4 artiklan 7 ja 9 alakohta; Euroopan parlamentin ja neuvoston direktiivi 2017/1132)
(ks. 66, 72–76 ja 83 kohta sekä tuomiolauselma 2 kohta)
Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus 2016/679 – Henkilötietojen käsittelyn lainmukaisuuden edellytykset – Käsittely, joka on tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi – Yhtiösopimukseen sisältyvien henkilötietojen julkistaminen – Henkilötiedot, joita ei edellytetä direktiivissä 2017/1132 tai kansallisessa lainsäädännössä – Tällaisten tietojen julkistaminen ei ole käsittelyä, joka on tarpeen lakisääteisen velvoitteen noudattamiseksi – Tällaisen julkistamisen luokitteleminen käsittelyksi, joka on tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai julkisen vallan käyttämiseksi – Edellytykset – Käsittelyn tarpeellisuus
(Euroopan parlamentin ja neuvoston asetuksen 2016/679 6 artiklan 1 kohdan ensimmäisen alakohdan c ja e alakohta; Euroopan parlamentin ja neuvoston direktiivi 2017/1132)
(ks. 94–96, 105–112 ja 114–116 kohta)
Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus 2016/679 – Oikeus tietojen poistamiseen – Laajuus – Henkilötietojen lainvastainen käsittely – Kuuluu tietojen poistamista koskevan oikeuden piiriin – Henkilötietojen lainmukainen käsittely – Käsittely, joka on tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai julkisen vallan käyttämiseksi – Ei kuulu tietojen poistamista koskevan oikeuden piiriin – Poikkeus – Se, että käsittelyyn on olemassa huomattavan tärkeä tai perusteltu syy, joka syrjäyttää rekisteröidyn edut, oikeudet ja vapaudet – Rekisterinpitäjän todistustaakka
(Euroopan parlamentin ja neuvoston asetuksen 2016/679 6 artiklan 1 kohdan e alakohta, 17 artiklan 1 kohdan c ja d alakohta sekä 21 artiklan 1 kohta)
(ks. 118–120 kohta)
Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus 2016/679 – Oikeus tietojen poistamiseen – Jäsenvaltion kaupparekisterin pitämisestä vastaavan viranomaisen velvollisuus hylätä kaikki sellaisten henkilötietojen poistamista koskevat pyynnöt, joita ei edellytetä – Henkilötiedot, joita ei edellytetä direktiivissä 2017/1132 tai kansallisessa lainsäädännössä – Tällaista velvollisuutta ei voida hyväksyä
(Euroopan parlamentin ja neuvoston asetuksen 2016/679 17 artikla; Euroopan parlamentin ja neuvoston direktiivin 2017/1132 16 artikla)
(ks. 127 kohta ja tuomiolauselman 3 kohta)
Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus 2016/679 – Henkilötietojen käsite – Luonnollisen henkilön omakätinen allekirjoitus – Kuuluu henkilötietojen käsitteen alaan
(Euroopan parlamentin ja neuvoston asetuksen 2016/679 4 artiklan 1 alakohta)
(ks. 131 ja 133–136 kohta sekä tuomiolauselman 4 kohta)
Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus 2016/679 – Vastuu ja oikeus korvauksen saamiseen – Oikeus korvaukseen aiheutuneesta vahingosta – Aineeton vahinko – Käsite – Henkilötietojen hallitsemiskyvyn menettäminen – Kuuluu aineettoman vahingon käsitteen alaan – Edellytykset – Rekisteröidyn todistustaakka aineettomasta vahingosta – Velvollisuus osoittaa merkittävien ja haitallisten lisäseuraamusten aiheutuminen – Tällaista velvollisuutta ei ole
(Euroopan parlamentin ja neuvoston asetuksen 2016/679 82 artiklan 1 kohta)
(ks. 140–146 ja 156 kohta sekä tuomiolauselman 5 kohta)
Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus 2016/679 – Vastuu ja oikeus korvauksen saamiseen – Rekisterinpitäjän vastuu ja velvollisuus korvata rekisteröidyn kärsimä vahinko – Vapautus tästä velvollisuudesta – Ulottuvuus – Se, että valvontaviranomainen antaa henkilötietojen suojaan liittyvistä kysymyksistä neuvoa-antavan lausunnon, joka on toimitettu rekisterinpitäjälle – Se, että rekisterinpitäjän asemassa olevaa kansallista viranomaista ei vapauteta vastuusta
(Euroopan parlamentin ja neuvoston asetuksen 2016/679 4 artiklan 7 alakohta, 58 artiklan 3 kohdan b alakohta ja 82 artiklan 1–3 kohta)
(ks. 171, 172, 174 ja 176 kohta sekä tuomiolauselman 6 kohta)
Tiivistelmä
Unionin tuomioistuin, jolle Varhoven administrativen sad (ylin hallintotuomioistuin, Bulgaria) on esittänyt ennakkoratkaisupyynnön, ottaa kantaa useisiin kysymyksiin, jotka koskevat pääasiallisesti yhtiöiden asiakirjojen julkistamista koskevien unionin oikeuden säännösten (
1
) ja yleisen tietosuoja-asetuksen (
2
) välistä suhdetta.
OL on kaupparekisteriin merkityn Bulgarian oikeuden mukaan perustetun rajavastuuyhtiö ”Praven Shtit Konsulting” OOD:n osakas; rekisteriin merkitsemistä edelsi yhtiösopimuksen toimittaminen. Agentsia po vpisvaniyata (rekisterimerkinnöistä vastaava virasto, Bulgaria; jäljempänä virasto) julkisti kyseisen sopimuksen, joka sisälsi useita osakkaiden henkilötietoja, kuten heidän sukunimensä, etunimensä, henkilötunnuksensa, henkilökorttiensa numerot, osoitteensa ja allekirjoituksensa, siinä muodossa kuin se oli toimitettu.
OL pyysi vuonna 2021 virastoa poistamaan tässä sopimuksessa olevat häntä koskevat henkilötiedot. Hän nosti Administrativen sad Dobrichissa (Dobrichin hallintotuomioistuin, Bulgaria) kaksi kannetta sen johdosta, että virasto kieltäytyi poistamasta mainittuja henkilötietoja. Kyseinen tuomioistuin velvoitti 5.5.2022 antamallaan tuomiolla viraston maksamaan OL:lle korvausta aineettomasta vahingosta yleisen tietosuoja-asetuksen (
3
) nojalla. Koska virasto ei ollut tyytyväinen kyseiseen tuomioon, se teki kassaatiovalituksen ennakkoratkaisua pyytäneeseen tuomioistuimeen.
Ennakkoratkaisua pyytänyt tuomioistuin esitti unionin tuomioistuimelle ennakkoratkaisupyynnön, koska se on epävarma siitä, miten säännöstö, jossa taataan henkilötietojen suojaa koskeva oikeus, ja säännöstö, jossa taataan julkisuus ja pääsy tiettyihin yhtiöiden asiakirjoihin, on sovitettava yhteen.
Unionin tuomioistuimen arviointi asiasta
Unionin tuomioistuin toteaa ensimmäiseksi tietojen, yhtiöiden asiakirjoihin sisältyvät henkilötiedot mukaan lukien, vapaaehtoisen julkistamisen käsitteen ulottuvuudesta, että yhtiöitä koskevien asiakirjojen ja tietojen julkistamista koskeva direktiivin 2017/1132 säännös (
4
) koskee ainoastaan näiden asiakirjojen ja tietojen jäljennöksiä, eikä kyseisessä säännöksessä viitata niiden sisältöön. Mainittua säännöstä ei näin ollen voida tulkita siten, että siinä asetettaisiin jonkinlainen velvollisuus julkistaa tietoja, joiden julkistamista ei edellytetä unionin oikeuden eikä asianomaisen jäsenvaltion kansallisen oikeuden säännöksissä mutta jotka sisältyvät asiakirjaan, jonka julkistaminen on mainitun direktiivin nojalla pakollista (
5
). Tämän säännöksen mukaan jäsenvaltioilla ei siis ole velvollisuutta sallia sitä, että kaupparekisterissä julkistetaan yhtiösopimus, jonka julkistaminen on pakollista mainitun direktiivin nojalla ja joka sisältää vaadittujen vähimmäishenkilötietojen lisäksi myös muita henkilötietoja, joiden julkistamista ei edellytetä kyseisen jäsenvaltion kansallisessa lainsäädännössä.
Unionin tuomioistuin toteaa toiseksi, että viranomainen, joka vastaa jäsenvaltion kaupparekisterin pitämisestä ja joka julkistaa tässä rekisterissä henkilötietoja, jotka sisältyvät yhtiösopimukseen, jonka julkistaminen on direktiivin 2017/1132 nojalla pakollista ja joka toimitetaan viranomaiselle asianomaisen yrityksen tähän rekisteriin kirjaamista koskevan hakemuksen yhteydessä, on näiden tietojen osalta sekä vastaanottaja (
6
) että – muun muassa siltä osin kuin se asettaa kyseiset tiedot julkisesti saataville – rekisterinpitäjä (
7
), vaikka kyseinen sopimus sisältäisi tietoja, joita ei edellytetä tässä direktiivissä tai kyseisen jäsenvaltion kansallisessa lainsäädännössä.
Unionin tuomioistuin toteaa tässä yhteydessä, että jäsenvaltioiden on direktiivin 2017/1132 nojalla määritettävä unionin oikeutta noudattaen muun muassa, mitkä yhtiöihin sidoksissa olevien henkilöiden henkilöllisyyttä koskevat tiedot – ja erityisesti, mitkä henkilötiedot – kuuluvat pakollisen julkistamisen piiriin.
Unionin tuomioistuimen mukaan on lisäksi niin, että merkitessään yhtiön jäsenvaltion kaupparekisteriin kirjaamista koskevan hakemuksen yhteydessä saamansa henkilötiedot rekisteriin ja säilyttäessään niitä siellä sekä luovuttaessaan niitä mahdollisesti kolmansien osapuolten pyynnöstä ja julkistaessaan niitä kansallisessa virallisessa julkaisussa tai yhtä tehokkaalla tavalla, rekisteriä pitävä viranomainen käsittelee henkilötietoja rekisterinpitäjänä. Tällainen henkilötietojen käsittely on näet erillistä käsittelyä suhteessa siihen, että rekisteriin kirjaamista hakeva henkilö luovuttaa mainitulle viranomaiselle henkilötietoja, ja tämä käsittely tapahtuu joka tapauksessa henkilötietojen luovuttamisen jälkeen. Lisäksi on niin, että kyseinen viranomainen toteuttaa tällaisen käsittelyn yksinomaan direktiivissä 2017/1132 ja jäsenvaltion kansallisessa lainsäädännössä, jolla mainittu direktiivi pannaan täytäntöön, vahvistettujen tarkoitusten ja menettelysääntöjen mukaisesti.
Kolmanneksi sen kysymyksen yhteydessä, onko rekisteröidyllä oikeus tietojen poistamiseen (
8
), unionin tuomioistuin tutkii aluksi niitä käsittelyn lainmukaisuutta koskevia perusteita, joihin henkilötietojen käsittely saattaa kuulua.
Unionin tuomioistuin toteaa yhtäältä siitä kysymyksestä, onko tämä käsittely tarpeen, jotta rekisterinpitäjä voi noudattaa unionin oikeuteen tai jäsenvaltion lainsäädäntöön perustuvaa lakisääteistä velvoitettaan (
9
), ettei direktiivissä 2017/1132 edellytetä kaikkien sellaisen asiakirjan sisältämien henkilötietojen, jonka julkistaminen on pakollista tämän direktiivin nojalla, systemaattista käsittelyä. On sitä vastoin niin, että kaikenlaisen mainitun direktiivin mukaisen henkilötietojen käsittelyn on täytettävä kaikki yleisestä tietosuoja-asetuksesta johtuvat vaatimukset. Jäsenvaltioiden on näin ollen varmistettava oikeusvarmuutta ja kolmansien osapuolten sellaisten etujen suojaamista, joita direktiivillä 2017/1132 tavoitellaan, koskevien tavoitteiden sekä yleisessä tietosuoja-asetuksessa taattujen oikeuksien yhteen sovittaminen.
Näin ollen ei voida katsoa, että sellaisten henkilötietojen asettaminen julkisesti saataville internetissä olevaan kaupparekisteriin, joita ei edellytetä direktiivissä 2017/1132 tai pääasiassa kyseessä olevassa kansallisessa lainsäädännössä ja jotka sisältyvät yhtiösopimukseen, jonka julkistaminen on pakollista kyseisen direktiivin nojalla ja joka toimitetaan virastolle, voidaan oikeuttaa tarpeella varmistaa mainitussa direktiivissä tarkoitettujen asiakirjojen julkistaminen, eikä siten myöskään, että tällaisten henkilötietojen julkisesti saataville asettaminen perustuisi unionin oikeudessa säädettyyn lakisääteiseen velvoitteeseen. Lisäksi on niin, ettei kyseessä olevan käsittelyn lainmukaisuus vaikuta myöskään – ellei ennakkoratkaisua pyytäneen tuomioistuimen suorittamista tarkistuksista muuta johdu – perustuvan kansallisessa lainsäädännössä säädettyyn lakisääteiseen velvoitteeseen.
Unionin tuomioistuin toteaa toisaalta sen kysymyksen osalta, onko kyseessä oleva käsittely tarpeen yleistä etua koskevan tehtävän suorittamiseksi (
10
), että vaikuttaa tosiaan siltä, että kyseessä oleva käsittely on suoritettu tällaisen tehtävän suorittamisen yhteydessä. Tämä käsittely vaikuttaa kuitenkin ylittävän sen, mikä on tarpeen tavoiteltujen yleisen edun mukaisten tavoitteiden saavuttamiseksi.
Unionin tuomioistuin toteaa tältä osin, että vaatimukselle säilyttää yhtiöiden asiakirjojen, joiden julkistaminen on pakollista direktiivin 2017/1132 nojalla, eheys ja luotettavuus, mikä edellyttäisi näiden asiakirjojen julkistamista sellaisina kuin ne on toimitettu kaupparekisterin pitämisestä vastaavalle viranomaiselle, ei voida antaa systemaattisesti etusijaa henkilötietojen suojaa koskevaan oikeuteen nähden, sillä muutoin tämä suoja jäisi pelkästään näennäiseksi. On erityisesti niin, ettei tämän vaatimuksen nojalla voida edellyttää sitä, että henkilötietoja, joita ei edellytetä tässä direktiivissä tai kansallisessa lainsäädännössä, säilytetään julkisesti saatavilla internetissä olevassa kaupparekisterissä, vaikka virasto olisi voinut laatia itse asianomaisen yhtiön asiakirjasta jäljennöksen, josta on poistettu tiedot, joita ei edellytetä, ja josta säädetään tässä kansallisessa lainsäädännössä, ja asettaa kyseisen jäljennöksen julkisesti saataville.
Unionin tuomioistuin huomauttaa seuraavaksi, että siinä tapauksessa, että ennakkoratkaisua pyytänyt tuomioistuin katsoo kyseisten henkilötietojen käsittelyn lainmukaisuutta koskevan arviointinsa päätteeksi, ettei tämä käsittely ole lainmukaista, viraston on rekisterinpitäjän ominaisuudessa poistettava kyseiset tiedot ilman aiheetonta viivytystä.
Jos ennakkoratkaisua pyytänyt tuomioistuin katsoisi kuitenkin sitä vastoin, että käsittely on tosiasiallisesti tarpeen yleistä etua koskevan tehtävän suorittamiseksi muun muassa sen johdosta, että henkilötietojen, joita ei edellytetä direktiivissä 2017/1132 tai kansallisessa lainsäädännössä, asettaminen julkisesti saataville internetissä olevaan kaupparekisteriin oli tarpeen, jotta voidaan välttää – kolmansien osapuolten intressien suojaamiseksi – viivästymiset asianomaisen yhtiön rekisteriin kirjaamisessa, olisi syytä selvittää, onko olemassa ensisijaisia perusteltuja syitä, jotka voivat syrjäyttää rekisteröidyn edut, oikeudet ja vapaudet ja jotka voivat olla esteenä tietojen poistamista koskevalle pyynnölle (
11
).
Unionin tuomioistuin toteaa näin ollen, että direktiiviä 2017/1132 ja yleistä tietosuoja-asetusta on tulkittava siten, että ne ovat esteenä jäsenvaltion säännöstölle tai käytännölle, jonka seurauksena kyseisen jäsenvaltion kaupparekisterin pitämisestä vastaava viranomainen hylkää kaikki sellaisten henkilötietojen poistamista koskevat pyynnöt, joita ei edellytetä tässä direktiivissä tai mainitun jäsenvaltion kansallisessa lainsäädännössä ja jotka sisältyvät mainitussa rekisterissä julkistettuun yhtiösopimukseen, kun tälle viranomaiselle ei ole toimitettu – mainitussa säännöstössä säädettyjen menettelysääntöjen vastaisesti – tämän sopimuksen jäljennöstä, josta on poistettu nämä tiedot.
Unionin tuomioistuin korostaa lopuksi – lausuessaan yleisen tietosuoja-asetuksen mukaisesta vastuujärjestelmästä ja tarkemmin ottaen siitä, mikä vaikutus jäsenvaltion valvontaviranomaisen antamalla lausunnolla on tässä yhteydessä –, että yleisen tietosuoja-asetuksen mukaan (
12
) tällaisen lausunnon antaminen kuuluu valvontaviranomaisen neuvontavaltuuksien eikä sen hyväksymisvaltuuksien piiriin. Käytetyt ilmaisut osoittavat lisäksi, ettei tällainen lausunto ole unionin oikeuden mukaan oikeudellisesti sitova. Kyseessä olevalla lausunnolla sellaisenaan ei siten voida osoittaa, että rekisterinpitäjä ei ole vastuussa vahingosta, eikä tällainen lausunto näin ollen riitä vapauttamaan rekisterinpitäjää yleisen tietosuoja-asetuksen mukaisesta vastuusta. Tämän johdosta tällainen lausunto ei riitä vapauttamaan jäsenvaltion kaupparekisterin pitämisestä vastaavaa rekisterinpitäjänä olevaa viranomaista vastuusta.
(
1
)	Tietyistä yhtiöoikeuden osa-alueista 14.6.2017 annettu Euroopan parlamentin ja neuvoston direktiivi (EU) 2017/1132 (EUVL 2017, L 169, s. 46).
(
2
)	Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annettu Euroopan parlamentin ja neuvoston asetus (EU) 2016/679 (yleinen tietosuoja-asetus) (EUVL 2016, L 119, s. 1).
(
3
)	Yleisen tietosuoja-asetuksen 82 artiklan nojalla.
(
4
)	Direktiivin 2017/1132 21 artiklan 2 kohta.
(
5
)	Direktiivin 2017/1132 14 artiklan nojalla.
(
6
)	Yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa tarkoitettu vastaanottaja.
(
7
)	Yleisen tietosuoja-asetuksen 4 artiklan 9 alakohdassa tarkoitettu rekisterinpitäjä.
(
8
)	Yleisen tietosuoja-asetuksen 17 artiklan nojalla.
(
9
)	Yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan c alakohdassa oleva käsittelyn lainmukaisuutta koskeva peruste.
(
10
)	Yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan e alakohdassa säädetty käsittelyn lainmukaisuutta koskeva peruste.
(
11
)	Yleisen tietosuoja-asetuksen 17 artiklan 1 kohdan c alakohdan, luettuna yhdessä sen 21 artiklan 1 kohdan kanssa, nojalla.
(
12
)	Yleisen tietosuoja-asetuksen 58 artiklan 3 kohdan b alakohta.