Väliaikainen versio
JULKISASIAMIEHEN RATKAISUEHDOTUS
DEAN SPIELMANN
16 päivänä lokakuuta 2025 (1)
Asia C‑484/24
NTH Haustechnik GmbH
vastaan
EM
(Ennakkoratkaisupyyntö – Landesarbeitsgericht Niedersachsen (Niedersachsenin työoikeudellisten asioiden ylioikeus, Saksa))
Ennakkoratkaisupyyntö – Henkilötietojen suoja – Tietojen käsittelyn lainmukaisuus työoikeudellisessa tuomioistuinmenettelyssä – Työnantajan keräämät tiedot sen osoittamiseksi, että työntekijä on laiminlyönyt velvoitteensa vakavalla tavalla – Lainvastaisesti saatujen todisteiden käsittely – Säilytyksen rajoittamista koskeva periaate – Jäsenvaltioiden menettelyllinen itsemääräämisoikeus
Johdanto
1.        Ennakkoratkaisupyyntö, joka on unionin tuomioistuimen pyynnöstä tämän rajatun ratkaisuehdotuksen kohteena, koskee asetuksen (EU) 2016/679(2) 5 artiklan 1 kohdan e alakohdan tulkintaa. Unionin tuomioistuinta pyydetään tutkimaan, voidaanko, ja missä määrin, kansallisessa oikeudenkäynnissä todisteena esitettyjä henkilötietoja, jotka on saatu käyttämällä muita henkilötietoja, jotka on alun perin kerätty tai joita on säilytetty säilytyksen rajoittamista koskevan periaatteen vastaisesti, lainmukaisesti käsitellä kansallisessa tuomioistuimessa.
2.        Landesarbeitsgericht Niedersachsen (Niedersachsenin työoikeudellisten asioiden ylioikeus, Saksa) on esittänyt ennakkoratkaisupyynnön riita-asiassa, jossa asianosaisina ovat NTH Haustechnik GmbH (jäljempänä NTH) ja sen entinen työntekijä (jäljempänä vastaaja) ja joka koskee vahingonkorvauskannetta vastaajan suorittamasta NTH:lle kuuluvan omaisuuden oikeudettomasta verkkomyynnistä aiheutuneesta vahingosta.
Asiaa koskevat oikeussäännöt
Unionin oikeus
3.        Yleisen tietosuoja-asetuksen 5 artiklan, jonka otsikko on ”Henkilötietojen käsittelyä koskevat periaatteet”, 1 kohdassa säädetään seuraavaa:
”1.      Henkilötietojen suhteen on noudatettava seuraavia vaatimuksia:
a)      niitä on käsiteltävä lainmukaisesti, asianmukaisesti ja rekisteröidyn kannalta läpinäkyvästi (lainmukaisuus, kohtuullisuus ja läpinäkyvyys)
– –
e)      ne on säilytettävä muodossa, josta rekisteröity on tunnistettavissa ainoastaan niin kauan kuin on tarpeen tietojenkäsittelyn tarkoitusten toteuttamista varten; henkilötietoja voidaan säilyttää pidempiä aikoja, jos henkilötietoja käsitellään ainoastaan yleisen edun mukaisia arkistointitarkoituksia taikka tieteellisiä tai historiallisia tutkimustarkoituksia tai tilastollisia tarkoituksia varten 89 artiklan 1 kohdan mukaisesti edellyttäen, että tässä asetuksessa vaaditut asianmukaiset tekniset ja organisatoriset toimenpiteet on pantu täytäntöön rekisteröidyn oikeuksien ja vapauksien turvaamiseksi (säilytyksen rajoittaminen)
– –”
4.        Yleisen tietosuoja-asetuksen 6 artiklassa, jonka otsikko on ”Käsittelyn lainmukaisuus”, säädetään seuraavaa:
”1.      Käsittely on lainmukaista ainoastaan jos ja vain siltä osin kuin vähintään yksi seuraavista edellytyksistä täyttyy:
– –
e)      käsittely on tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi
– –
2.      Jäsenvaltiot voivat pitää voimassa tai ottaa käyttöön yksityiskohtaisempia säännöksiä tässä asetuksessa vahvistettujen sääntöjen soveltamisen mukauttamiseksi sellaisessa käsittelyssä, joka tehdään 1 kohdan c ja e alakohdan noudattamiseksi määrittämällä täsmällisemmin tietojenkäsittely- ja muita toimenpiteitä koskevat erityiset vaatimukset, joilla varmistetaan laillinen ja asianmukainen tietojenkäsittely muun muassa muissa erityisissä käsittelytilanteissa siten kuin IX luvussa säädetään.
3.      Edellä olevan 1 kohdan c ja e alakohdassa tarkoitetun käsittelyn perustasta on säädettävä joko
a)      unionin oikeudessa; tai
b)      rekisterinpitäjään sovellettavassa jäsenvaltion lainsäädännössä.
Käsittelyn tarkoitus määritellään kyseisessä käsittelyn oikeusperusteessa tai, 1 kohdan e alakohdassa tarkoitetussa käsittelyssä, sen on oltava tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi. Kyseinen käsittelyn oikeusperuste voi sisältää erityisiä säännöksiä, joilla mukautetaan tämän asetuksen sääntöjen soveltamista, muun muassa: yleisiä edellytyksiä, jotka koskevat rekisterinpitäjän suorittaman tietojenkäsittelyn lainmukaisuutta; käsiteltävien tietojen tyyppiä; asianomaisia rekisteröityjä, yhteisöjä joille ja tarkoituksia joihin henkilötietoja voidaan luovuttaa; käyttötarkoitussidonnaisuutta; säilytysaikoja; sekä käsittelytoimia ja ‑menettelyjä, mukaan lukien laillisen ja asianmukaisen tietojenkäsittelyn varmistamiseen tarkoitetut toimenpiteet, kuten toimenpiteet muita IX luvussa esitettyjä erityisiä tietojenkäsittelytilanteita varten. Unionin oikeuden tai jäsenvaltion lainsäädännön on täytettävä yleisen edun mukainen tavoite ja oltava oikeasuhteinen sillä tavoiteltuun oikeutettuun päämäärään nähden.
– –”
5.        Yleisen tietosuoja-asetuksen 23 artiklassa, jonka otsikko on ”Rajoitukset”, säädetään seuraavaa:
”1.      Rekisterinpitäjään tai henkilötietojen käsittelijään sovellettavassa unionin oikeudessa tai jäsenvaltion lainsäädännössä voidaan lainsäädäntötoimenpiteellä rajoittaa 12–22 artiklassa ja 34 artiklassa sekä 5 artiklassa, siltä osin kuin sen säännökset vastaavat 12–22 artiklassa säädettyjä oikeuksia ja velvollisuuksia, säädettyjen velvollisuuksien ja oikeuksien soveltamisalaa, jos kyseisessä rajoituksessa noudatetaan keskeisiltä osin perusoikeuksia ja ‑vapauksia ja se on demokraattisessa yhteiskunnassa välttämätön ja oikeasuhteinen toimenpide, jotta voidaan taata
– –
j)      yksityisoikeudellisten kanteiden täytäntöönpano.
– –”
Saksan oikeus
Siviiliprosessilaki
6.        Siviiliprosessilain (Zivilprozessordnung), joka annettiin 30.1.1877,(3) 138 §:ssä, jonka otsikkona on ”Velvollisuus selvittää tosiseikat; totuusvelvollisuus”, sellaisena kuin sitä sovelletaan pääasiaan, säädetään seuraavaa:
”(1)      Asianosaisten tosiseikkoja koskevien lausumien on oltava täydellisiä ja totuudenmukaisia.
(2)      Asianosaisten on annettava selityksensä vastapuolen väittämistä tosiseikoista.
(3)      Tosiseikat, joita ei ole nimenomaisesti kiistetty, katsotaan tunnustetuiksi, jos asianosaisen muista lausumista ei ilmene, että se aikoi kiistää ne.
(4)      Tietämättömyyttä koskeva ilmoitus saa koskea ainoastaan sellaisia tosiseikkoja, jotka eivät ole koskeneet asianosaisen omia toimia tai joita asianosainen ei ole itse havainnut.”
Liittovaltion tietosuojalaki
7.        Liittovaltion tietosuojalain (Bundesdatenschutzgesetz), joka annettiin 30.6.2017,(4) 3 §:ssä, jonka otsikkona on ”Viranomaisten suorittama henkilötietojen käsittely,”
sellaisena kuin sitä sovelletaan pääasiaan, säädetään seuraavaa:
”Julkisen
elimen suorittama henkilötietojen käsittely on sallittua, jos se on tarpeen rekisterinpitäjän toimivaltaan kuuluvan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi.”
Pääasia, ennakkoratkaisukysymykset ja asian käsittely unionin tuomioistuimessa
8.        NTH on yhtiö, joka harjoittaa  lämmitys- ja ilmastointijärjestelmiin liittyvää yritystoimintaa. Vastaaja oli yrityksen työntekijä ja avioliitossa sen toimitusjohtajan kanssa. Vastaajan ja NTH:n toimitusjohtajan poika on myös tämän yhtiön työntekijä.
9.        NTH:n ja vastaajan välinen työsuhde päättyi 31.10.2019, ja puolisot muuttivat erilleen 26.6.2022. Erilleen muuttamiseen asti vastaajalla oli kuitenkin edelleen pääsy yhtiön tiloihin ja mahdollisuus käyttää siellä olevia tietokoneita. On riidanalaista, käyttikö hän niitä vain yksityisiin tarkoituksiin vai jatkoiko hän toimintaa NTH:n hyväksi.
10.      Välittömästi avioparin erottua NTH sai selville, että vastaaja oli luovuttanut eBay-verkkomyyntialustan välityksellä yhtiön liikeomaisuutta omaan lukuunsa, ja vaatii häneltä vahingonkorvausta tällä perusteella.
11.      Ennakkoratkaisua pyytänyt tuomioistuin toteaa, että NTH sai tietää vastaajan myyntitapahtumista käyttämällä tietokonepohjaista pääsyä vastaajan yksityiselle eBay-tilille. Tätä varten vastaajan ja NTH:n toimitusjohtajan pojan väitettiin käyttäneen vastaajan eBay-tilin käyttäjätunnusta ja salasanaa. On riidanalaista, millä tavoin hän sai ne tietoonsa.
12.      Tältä osin NTH väittää saaneensa tiedon vastaajan eBay-verkkomyyntialustan käytöstä tutustumalla vastaajan käyttämän yritystietokoneen selaushistoriaan ja salasanasta tarkastelemalla NTH:n palvelimelle luotua ”perhekansiota”, johon salasana oli tallennettu. Vastaaja sitä vastoin väittää, ettei hän ole säilyttänyt eBay-käyttäjätilin salasanaansa yrityksen tietokoneiden tallennustilassa, ja väittää, että NTH käytti matkapuhelinta, joka oli rekisteröity yhtiön nimiin mutta joka oli vastaajan käytössä, vaihtaakseen vastaajan yksityisen tilin salasanan eBay-verkkoalustalla ja päästäkseen tilille.
13.      Ennakkoratkaisua pyytänyt tuomioistuin katsoo, että NTH:n suorittama tietojen kerääminen ja säilyttäminen, jonka avulla se sai tiedon vastaajan eBay-verkkomyyntialustalla suorittamista myynneistä, on voinut tapahtua lainvastaisesti. Kyseinen tuomioistuin katsoo myös, että sen oma lainkäyttötoiminta ja NTH:n keräämien tietojen mahdollinen käyttö päätöksenteossa on yleisessä tietosuoja-asetuksessa tarkoitettua tietojenkäsittelyä. Ennakkoratkaisua pyytänyt tuomioistuin pohtii tältä osin, mitä edellytyksiä kansallisessa lainsäädännössä on asetettava lainkäyttötehtävien yhteydessä suoritettavalle tietojenkäsittelylle sekä mitä oikeudellisia perustoja ja aineellisia perusteita tällaisiin toimiin on sovellettava.
14.      Tässä tilanteessa Landesarbeitsgericht Niedersachsen (Niedersachsenin työoikeudellisten asioiden ylioikeus) on päättänyt lykätä asian käsittelyä ja esittää unionin tuomioistuimelle seuraavat ennakkoratkaisukysymykset:
”1)      Ovatko Saksan liittotasavallan perustuslain (Grundgesetz für die Bundesrepublik Deutschland, GG) 92 §:n ja siviiliprosessilain (Zivilprozessordnung, ZPO) 138, 286 ja 355 §:n ja sitä seuraavien pykälien säännökset yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan e alakohdan ja 3 kohdan soveltamisalaan kuuluvien lainkäyttötehtävien yhteydessä suoritettavien riippumattomien käsittelytoimien osalta Euroopan unionin perusoikeuskirjan(5) 8 artiklan 2 kohdasta ja 52 artiklan 1 kohdasta sekä yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohdasta johtuvan täsmällisyysvaatimuksen mukaisia siltä osin kuin lainkäyttötehtävien yhteydessä suoritettava käsittelytoimi merkitsee puuttumista asianosaisen tai kolmannen osapuolen perusoikeuksiin?
2)      a)      Voiko kansallinen tuomioistuin vedota tietojen – erityisesti henkilötietojen – käsittelyssä siihen, että sen suorittama käsittely on sallittua yleisen tietosuoja-asetuksen 17 artiklan 3 kohdan e alakohdan nojalla, vai muodostavatko yleisen tietosuoja-asetuksen 6 ja 9 artikla yksinomaisen perusteen lainkäyttötehtävien yhteydessä suoritettaville käsittelytoimille?
b)      Jos yleisen tietosuoja-asetuksen 17 artiklan 3 kohdan e alakohta voi lähtökohtaisesti muodostaa oikeusperusteen lainkäyttötehtävien yhteydessä suoritettaville käsittelytoimille:
aa)      Koskeeko tämä myös tapauksia, joissa asian asianosainen tai kolmas osapuoli ei ole kerännyt näitä tietoja alun perin lainmukaisesti?
bb)      Johtaako alun perin lainvastaisesti kerättyjen tietojen käsittely yleisesti sovellettavan asianmukaista käsittelyä koskevan periaatteen mukaan (yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohta) lainkäyttötehtävien yhteydessä suoritettavan käsittelyn rajoittamiseen johdetun oikeuden perusteella siten, että yleisen tietosuoja-asetuksen 17 artiklan 3 kohdan e alakohtaa sovelletaan vain tietyin edellytyksin tai tietyissä rajoissa?
cc)      Onko yleisen tietosuoja-asetuksen 17 artiklan 3 kohdan e alakohdan säännöstä tulkittava siten, että alun perin lainvastaisesti saatujen tietojen käyttöä tuomioistuimessa ei voida kieltää – eli tuomioistuimen on aina käytettävä tällaisia tietoja – silloin, kun tietoja ei ole alun perin kerätty peitellysti ja niitä on käytetty velvoitteen tahallisen rikkomisen osoittamiseen?
3)      Riippumatta siitä, perustuuko lainkäyttötehtävien yhteydessä suoritettava tietojenkäsittelytoimi yleisen tietosuoja-asetuksen 17 artiklan 3 kohdan e alakohdan, 6 artiklan 1 kohdan c tai e alakohdan, 6 artiklan 3 kohdan, 9 artiklan tai muiden unionin oikeuden säännösten soveltamisalaan:
a)      Onko perusoikeuskirjan 52 artiklan 1 kohdan toisessa virkkeessä ja yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohdassa vahvistetuista tietojen tarpeellisuuden ja minimoinnin periaatteista pääteltävissä, erityisesti alun perin lainvastaisesti kerättyjen tai tallennettujen tietojen käsittelyn osalta, että tuomioistuinten on arvioitava kattavasti oikeasuhteisuutta ja punnittava etuja?
b)      Miten yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan e alakohta, jonka mukaan henkilötietoja saa säilyttää vain niin kauan kuin se on tarpeen käsittelyn tarkoitusten toteuttamista varten, vaikuttaa myöhempiin lainkäyttötehtävien yhteydessä suoritettaviin tiedonkäsittelytoimiin, erityisesti tapauksissa, joissa
–        tiedot kerättiin alun perin muihin tarkoituksiin, tai
–        alun perin lainvastainen tiedonkeruu tapahtui kauan sitten, tai
–        tietojen lainvastainen säilyttäminen jatkui pitkään, tai
–        lainvastainen tiedonkeruu koskee tietoja, jotka tallennettiin – mahdollisesti lainvastaisesti – kauan sitten, tai
–        tietoja käsittelevä tai keräävä yksikkö tai henkilö on sitoutunut yksipuolisesti tai henkilökohtaisella sopimuksella taikka yhteisesti poistamaan tiedot tietyssä määräajassa mutta ei kuitenkaan ole poistanut tietoja?
c)      Seuraako unionin oikeudesta, erityisesti perusoikeuskirjan 8 artiklasta, yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan c tai e alakohdasta, 6 artiklan 3 kohdasta tai 9 artiklasta, että kansallinen tuomioistuin voi käyttää henkilöoikeuksia loukkaamalla hankittuja todisteita vain, jos asianosaisella, jolla on todistustaakka, on hyväksyttävä intressi, joka on painavampi kuin pelkkä näyttöä koskeva intressi, vai onko niin, että unionin oikeudesta ei seuraa tältä osin mitään vaatimuksia, jolloin kansallisessa oikeusjärjestelmässä on vahvistettava asiaa koskevat säännöt?
d)      Seuraako perusoikeuskirjan 47 artiklan 2 kohdasta, jossa taataan oikeus tehokkaaseen oikeussuojaan ja erityisesti oikeudenmukaiseen oikeudenkäyntiin, jossa siviiliprosessin asianosaisten on lähtökohtaisesti pystyttävä riittävästi perustelemaan ja osoittamaan oikeussuojatavoitteensa, että työnantajan lainvastaisesti keräämien, kantajana olevaa työntekijää koskevien henkilötietojen käsittely tuomioistuimessa voi olla epäasianmukaista ja suhteetonta suppeassa merkityksessä vain silloin, jos tiedonkeruu osoittautuu unionin oikeuden perusteella perusoikeuskirjan 7 ja 8 artiklan vakavaksi rikkomiseksi ja jos muut työnantajalle mahdollisesti määrättävät seuraamukset (esim. yleisen tietosuoja-asetuksen 82 artiklan mukainen vahingonkorvaus ja 83 artiklan mukainen hallinnollisten sakkojen määrääminen) olisivat täysin riittämättömiä, vai voidaanko epäasianmukaisuutta ja suhteettomuutta perustella jo alkuperäisen tiedonkeruun yhteydessä tehdyillä muilla, vähemmän vakavilla tietosuojaloukkauksilla?
e)      Onko tuomioistuimen otettava huomioon, onko tietojen kerääjä noudattanut yleisen tietosuoja-asetuksen 13 artiklan mukaisia ilmoittamisvelvoitteitaan, kun se päättää, voiko se käyttää asianosaisen tai kolmannen alun perin keräämiä tietoja lainkäyttötehtävien yhteydessä suoritettavien tiedonkäsittelytoimiensa yhteydessä? Jos vastaus on myöntävä, millä edellytyksillä ja perusteilla tuomioistuimen on otettava tämä huomioon?
f)      Koskeeko se, että tuomioistuin on henkilötietoja käsitellessään sidottu tietosuoja-asetukseen ja unionin perusoikeuskirjaan, myös kolmansien osapuolten henkilötietoja? Millä tavoin kolmanteen osapuoleen kohdistunut mahdollinen tietosuojalainsäädännön rikkominen alkuperäisen tiedonkeruun yhteydessä vaikuttaa myöhempään lainkäyttötehtävien yhteydessä suoritettavaan tietojenkäsittelyyn kahden osapuolen välisessä riita-asiassa? Voiko asiaosainen vedota rikkomiseen, joka ei ole kohdistunut häneen vaan kolmanteen osapuoleen?”
15.      Kirjallisia huomautuksia ovat esittäneet Euroopan komissio sekä Saksan, Unkarin ja Suomen hallitukset. Komissio ja Saksan hallitus esittivät suulliset huomautuksensa 2.7.2025 pidetyssä istunnossa.
Asian arviointi
Alustavat huomautukset
16.      Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee kolmannen ennakkoratkaisukysymyksen b kohdassa, joka on tämän rajatun ratkaisuehdotuksen kohteena, mikä vaikutus yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan e alakohdassa vahvistetun säilytyksen rajoittamista koskevan periaatteen vastaisella tietojenkäsittelyllä on sellaisten muiden tietojen, jotka voitiin saada vain käyttämällä näitä alkuperäisiä tietoja, ”myöhempien käsittelytoimien”(6) lainmukaisuuteen sen lainkäyttötehtävien yhteydessä.
17.      Asian ymmärtämisen kannalta on mielestäni hyödyllistä täsmentää, että nyt käsiteltävässä asiassa kyseessä olevat kaksi henkilötietolajia on erotettava toisistaan. Yhtäältä NTH:n palvelimelle ja vastaajan käyttämän yhtiön tietokoneen selaushistoriaan tai jopa vastaajan käyttöön annettuun yhtiön puhelimeen tallennettujen vastaajaa koskevien tietojen avulla NTH saattoi palauttaa vastaajan eBay-salasanan ja käyttäjätunnuksen päästäkseen tämän yksityiselle tilille eBayn verkkomyyntialustalla. Yksinkertaisuuden vuoksi käytän niistä tässä ratkaisuehdotuksessa käsitettä ”alkuperäiset tiedot”. Toisaalta yhtiön liikeomaisuuden myyntiä koskevia tietoja, jotka on otettu eBayn verkkosivustolta ja jotka ovat olleet NTH:n vastaajaa vastaan nostaman kanteen perustana, kutsutaan ”myyntitiedoiksi”.
18.      Ensinnäkin ennakkoratkaisua pyytänyt tuomioistuin on todennut alkuperäisten tietojen osalta, että kysymys siitä, millä tavoin vastaajan ja NTH:n toimitusjohtajan poika sai tietää vastaajan eBay-salasanan ja käyttäjätunnuksen, on riidanalainen. Kolmannen ennakkoratkaisukysymyksen b kohdassa se näyttää kuitenkin lähtevän siitä olettamasta, että nämä tiedot on kerätty ja niitä on säilytetty vastoin yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan e alakohdassa vahvistettua säilytyksen rajoittamista koskevaa periaatetta, jonka mukaan henkilötietoja on säilytettävä ”ainoastaan niin kauan kuin on tarpeen tietojenkäsittelyn tarkoitusten toteuttamista varten”.
19.      Ennakkoratkaisua pyytänyt tuomioistuin viittaa tässä tarkoituksessa siihen, että ”tiedot kerättiin alun perin muihin tarkoituksiin”. Se mainitsee myös lainvastaisen tiedonkeruun, joka ”tapahtui kauan sitten”, tietojen lainvastaisen tallentamisen, joka tapahtui ”kauan sitten” tai säilyttämisen, joka ”jatkui pitkään” sekä kerättyjen tietojen poistamista ”tietyssä määräajassa” koskevan sopimusvelvoitteen rikkomisen. Ymmärrän, että tällä pyritään väittämään, että alkuperäisten tietojen keräämisellä oli muita tarkoituksia kuin se, että yhtiö voisi myöhemmin kerätä muita tietoja, nimittäin myyntitietoja, voidakseen nostaa kanteen vastaajaa vastaan, ja että alkuperäisten tietojen säilytysaika olisi ylittänyt sen ajan, joka oli tarpeen niiden tarkoitusten saavuttamiseksi, joita varten kyseiset tiedot alun perin kerättiin ja joita varten niitä säilytettiin.(7)
20.      Toiseksi myyntitiedot eivät mielestäni voi kuulua sellaisten oletusten piiriin, joiden mukaan tiedot kerättiin alun perin ”muihin tarkoituksiin” ja jotka koskevat säilyttämistä, joka tapahtui kauan sitten, joka jatkui pitkään tai jota toteutettaessa rikottiin tietojen poistamista koskevaa sopimusvelvoitetta. Asiakirja-aineistosta ei ilmene, että NTH olisi säilyttänyt näitä tietoja pitkään tai että NTH olisi kerännyt niitä muihin tarkoituksiin kuin voidakseen nostaa kanteen vastaajaa vastaan. Kyse ei myöskään ole siitä, että eBay keräisi tai säilyttäisi verkkomyyntiä koskevia tietoja lainvastaisesti.
21.      Ennakkoratkaisupyynnöstä ilmenee nähdäkseni kuitenkin, että ennakkoratkaisua pyytänyt tuomioistuin lähtee siitä olettamasta, että siltä osin kuin NTH on tosiasiallisesti loukannut yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan e alakohdassa vahvistettua periaatetta alkuperäisten tietojen osalta, näiden tietojen myöhempi käyttö vastaajan yksityiselle eBay-tilille pääsemiseksi on lainvastaista ja näin ollen myös NTH:n suorittama myyntitietojen kerääminen on lainvastaista.(8)
22.      Nyt käsiteltävässä asiassa on siis kyse siitä, onko ennakkoratkaisua pyytäneen tuomioistuimen lainkäyttötehtäviensä yhteydessä suorittama myyntitietojen käsittely lainmukaista, koska yleistä tietosuoja-asetusta sovelletaan kaikkiin oikeusviranomaisten, kuten ennakkoratkaisua pyytäneen tuomioistuimen, suorittamiin käsittelytoimiin.(9) Tästä seuraa, että kyseiselle tuomioistuimelle annettavassa vastauksessa on otettava huomioon yleisen tietosuoja-asetuksen 6 artiklassa säädetyt henkilötietojen käsittelyn lainmukaisuuden edellytykset.
23.      Ehdotan näin ollen, että unionin tuomioistuin muotoilee nyt käsiteltävää asiaa varten kolmannen ennakkoratkaisukysymyksen b kohdan uudelleen siten, että unionin tuomioistuin voi arvioida, onko yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan e alakohtaa, luettuna yhdessä kyseisen asetuksen 6 artiklan kanssa, tulkittava siten, että siinä säädetty säilytyksen rajoittamista koskeva periaate on esteenä sille, että kansallinen tuomioistuin voi lainkäyttötehtäviensä yhteydessä käsitellä tietoja, jotka on saatu käyttämällä muita tietoja, jotka on alun perin kerätty tai joita on säilytetty tämän periaatteen vastaisesti, tai jopa asettaa kansalliselle tuomioistuimelle erityisiä vaatimuksia siitä, miten näitä henkilötietoja on käytettävä.
Kolmannen ennakkoratkaisukysymyksen b kohta
24.      Huomautan, että kaikessa henkilötietojen käsittelyssä, myös viranomaisten, kuten tuomioistuinten, suorittamassa käsittelyssä, on noudatettava henkilötietojen käsittelyä koskevia periaatteita ja kunnioitettava rekisteröidyn oikeuksia, jotka on vahvistettu yleisen tietosuoja-asetuksen II ja III luvussa. Tällaisessa käsittelyssä on erityisesti noudatettava kyseisen asetuksen 5 artiklassa säädettyjä periaatteita, ja kun otetaan huomioon mainitun artiklan 1 kohdan a alakohdassa säädetty käsittelyn lainmukaisuuden periaate, sen on täytettävä mainitun asetuksen 6 artiklassa luetellut lainmukaisuuden edellytykset.(10) Viimeksi mainitun säännöksen 1 kohdassa on tyhjentävä ja suppea luettelo tapauksista, joissa henkilötietojen käsittelyä voidaan pitää lainmukaisena. Jotta käsittelyä voitaisiin pitää laillisena, sen on siis kuuluttava johonkin kyseisessä säännöksessä säädetyistä tapauksista.(11)
25.      Erityisesti pääasiassa kyseessä oleva henkilötietojen käsittely eli se, että ennakkoratkaisua pyytänyt tuomioistuin käyttää henkilötietoja tuomioistuinmenettelyssä, voi kuulua yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan e alakohdan soveltamisalaan, jonka mukaan käsittely on laillista, jos ja siltä osin kuin se on ”tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi”; tämä säännös vastaa myös liittovaltion tietosuojalain 3 §:ää.(12)
26.      Kuten tämän ratkaisuehdotuksen 16–22 kohdassa todetaan, pääasiassa herää kysymys siitä, mitä vaikutuksia sillä, että NTH on eri tavoin loukannut yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan e alakohdassa vahvistettua säilytyksen rajoittamisen periaatetta alkuperäisten tietojen osalta, on siihen, voiko ennakkoratkaisua pyytänyt tuomioistuin hyväksyä myyntitietojen käyttämisen lainkäyttötehtäviensä yhteydessä.
27.      Huomautan tältä osin, että vakiintuneen oikeuskäytännön mukaan unionin oikeussäännön tulkinta edellyttää, että huomioon otetaan paitsi sen sanamuoto myös asiayhteys, johon se kuuluu, sekä sen toimen tavoitteet ja tarkoitus, jonka osa se on.(13)
28.      Yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan e alakohdan osalta unionin tuomioistuin on jo todennut, että kyseisen artiklan sanamuodosta ilmenee yksiselitteisesti, että säilytyksen rajoittamisen periaate edellyttää, että rekisteripitäjän on voitava osoittaa, että henkilötietoja säilytetään ainoastaan niin kauan kuin on tarpeen tietojen keruun tai niiden myöhemmän käsittelyn tarkoitusten toteuttamista varten. Näin ollen jopa tietojen alun perin laillinen käsittely voi ajan myötä muuttua yhteensopimattomaksi yleisen tietosuoja-asetuksen kanssa, jos kyseiset tiedot eivät ole enää tarpeen tällaisten tarkoitusten toteuttamiseksi.(14)
29.      Asiayhteyden kannalta yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan e alakohta on yksi kyseisen asetuksen 5 artiklassa säädetyistä tietojenkäsittelyä koskevista periaatteista ja suhteellisuusperiaatteen ilmentymä. Siinä arvioidaan käsittelyn oikeasuhteisuutta suhteessa sen tarkoitukseen ja ajan kulumiseen. Yleisen tietosuoja-asetuksen johdanto-osan 39 perustelukappaleessa todetaan nimenomaisesti, että henkilötietojen säilytysajan on oltava ”mahdollisimman lyhyt” ja että ”rekisterinpitäjän olisi asetettava määräajat henkilötietojen poistoa tai niiden säilyttämisen tarpeellisuuden määräaikaistarkastelua varten, jotta voidaan varmistaa, ettei henkilötietoja säilytetä pidempään kuin on tarpeen”.(15)
30.      Yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan e alakohdan tavoitteesta on todettava, että kuten kyseisen asetuksen johdanto-osan 10 perustelukappaleesta ilmenee, tavoitteena on varmistaa korkeatasoinen luonnollisten henkilöiden suojelu unionissa henkilötietojen käsittelyssä.(16)
31.      Yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan e alakohta koskee näin ollen ainoastaan niitä vaatimuksia, jotka henkilötietojen säilyttämisessä on täytettävä,(17) eikä siinä näin ollen anneta täsmällistä vastausta kysymykseen siitä, millä tavoin se, ettei ensimmäinen  rekisterinpitäjä ole noudattanut henkilötietojen säilytyksen rajoittamista koskevaa periaatetta, vaikuttaa siihen, voiko kansallinen tuomioistuin käsitellä henkilötietoja lainkäyttötehtävissään. Tähän ei mielestäni löydy vastausta mistään muustakaan kyseisen asetuksen säännöksestä.
32.      Yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan e alakohdassa eikä myöskään saman asetuksen 6 artiklan 1 kohdan e alakohdassa ei kielletä yleisesti ja ehdottomasti tuomioistuimen kaltaista viranomaista ottamasta huomioon tietoja, jotka riita-asian asianosainen on saanut käyttämällä muita henkilötietoja, joiden käsittely kyseisen asianosaisen toimesta olisi ollut säilytyksen rajoittamisen periaatteen vastaista.
33.      Koska asiaa koskevia unionin säännöksiä ei ole, kunkin jäsenvaltion on jäsenvaltioiden menettelyllisen itsemääräämisoikeuden periaatteen mukaisesti vahvistettava sisäisessä oikeusjärjestyksessään oikeussuojakeinoja koskevat menettelysäännöt, joilla pyritään turvaamaan unionin oikeuteen perustuvat yksityisten oikeudet,  edellyttäen kuitenkin, että nämä menettelysäännöt eivät saa olla epäedullisempia kuin ne, jotka koskevat samankaltaisia jäsenvaltion sisäisiä tilanteita  (vastaavuusperiaate), eivätkä ne saa olla sellaisia, että unionin oikeusjärjestyksessä vahvistettujen oikeuksien käyttäminen on käytännössä mahdotonta tai suhteettoman vaikeaa (tehokkuusperiaate).(18) Jäsenvaltioiden on lisäksi käytettävä harkintavaltaansa yleisessä tietosuoja-asetuksessa säädettyjen edellytysten ja rajojen mukaisesti ja siten annettava lainsäädäntöä tavalla, joka ei loukkaa asetuksen sisältöä ja tavoitteita.(19)
34.      Tarkemmin sanoen yleisen tietosuoja-asetuksen 6 artiklan 3 kohdan, luettuna yhdessä kyseisen asetuksen johdanto-osan 10(20), 20(21) ja 45(22) perustelukappaleen kanssa, mukaan kyseisen asetuksen 6 artiklan 1 kohdan e alakohdassa tarkoitetun käsittelyn oikeusperustan on riippumatta siitä, onko kyseessä unionin oikeus vai sen jäsenvaltion lainsäädäntö, jota rekisterinpitäjään sovelletaan, täytettävä yleisen edun mukainen tavoite ja oltava oikeasuhteinen sillä tavoiteltuun oikeutettuun päämäärään nähden. Kyseinen oikeusperusta voi sisältää myös erityisiä säännöksiä, joilla mukautetaan yleisen tietosuoja-asetuksen sääntöjen soveltamista, kuten erityisesti säännöksiä, jotka koskevat yleisiä edellytyksiä, jotka koskevat rekisterinpitäjän suorittaman tietojenkäsittelyn lainmukaisuutta tai käsittelytoimia ja ‑menettelyjä, mukaan lukien laillisen ja asianmukaisen tietojenkäsittelyn varmistamiseen tarkoitetut toimenpiteet, kuten toimenpiteet muita yleisen tietosuoja-asetuksen IX luvussa tarkoitettuja erityisiä tietojenkäsittelytilanteita varten.(23) Jäsenvaltioilla on näin ollen toimivalta pitää voimassa tai ottaa käyttöön kansallisia säännöksiä, joiden tarkoituksena on täsmentää kyseisen asetuksen säännösten soveltamista, kuten mainitun asetuksen 6 artiklan 2 kohdassa säädetään.
35.      Lisäksi yleisessä tietosuoja-asetuksessa säädetään, että jäsenvaltiot voivat poiketa kyseisen asetuksen 5 artiklasta, jos se on tarpeen tiettyjen yleiseen julkiseen etuun liittyvien tärkeiden tavoitteiden, kuten tässä tapauksessa ”yksityisoikeudellisten kanteiden täytäntöönpanon” turvaamiseksi. Yleisen tietosuoja-asetuksen 23 artiklan 1 kohdan j alakohdassa(24) säädetään, että unionin oikeudessa tai jäsenvaltion lainsäädännössä voidaan lainsäädäntötoimenpiteellä rajoittaa niissä säädettyjen velvollisuuksien ja oikeuksien soveltamisalaa, jos kyseisessä rajoituksessa noudatetaan keskeisiltä osin perusoikeuksia ja ‑vapauksia ja  se on demokraattisessa yhteiskunnassa välttämätön ja oikeasuhteinen toimenpide, jotta voidaan taata edellä mainitun kaltaiset yleiseen julkiseen etuun liittyvät tärkeät tavoitteet.(25)
36.      Lopuksi on huomautettava, että kuten yleisen tietosuoja-asetuksen johdanto-osan neljännessä perustelukappaleessa todetaan, oikeutta yksityiselämän suojaan ja oikeutta henkilötietojen suojaan koskevat perusoikeudet eivät kuitenkaan ole absoluuttisia oikeuksia, vaan ne on otettava huomioon suhteessa niiden tehtävään yhteiskunnassa ja niiden on oltava oikeassa suhteessa muihin perusoikeuksiin, kuten perusoikeuskirjan 47 artiklassa taattuun tehokasta oikeussuojaa koskevaan oikeuteen.(26)
37.      Perusoikeuskirjan 52 artiklan 1 kohdan mukaan rajoituksia voidaan siis asettaa, jos niistä säädetään lailla ja niissä kunnioitetaan perusoikeuksien keskeistä sisältöä sekä suhteellisuusperiaatetta. Viimeksi mainitun periaatteen mukaisesti rajoituksia voidaan asettaa ainoastaan, jos ne ovat välttämättömiä ja vastaavat tosiasiallisesti unionin tunnustamia yleisen edun mukaisia tavoitteita tai tarvetta suojella muiden henkilöiden oikeuksia ja vapauksia. Niissä on mainittava, missä olosuhteissa ja millä edellytyksin tällaisten tietojen käsittelyä koskeva toimenpide voidaan toteuttaa, jotta taataan, että puuttuminen rajoittuu täysin välttämättömään. Puuttumisen perustana olevassa säännöstössä on säädettävä selkeistä ja täsmällisistä kyseessä olevan toimenpiteen ulottuvuutta ja soveltamista koskevista säännöistä(27) ja asetettava vähimmäisvaatimukset, jotta henkilöillä, joiden henkilötiedot ovat kyseessä, on riittävät takeet, joiden avulla näitä tietoja voidaan tehokkaasti suojata väärinkäytön vaaroilta.(28)
38.      Lisään vielä, ettei unionin oikeudessa ole säännöksiä todisteiden tutkittavaksi ottamisesta kansallisissa oikeudenkäynneissä ja että tämä tutkittavaksi ottaminen kuuluu jäsenvaltioiden menettelyllisen itsemääräämisoikeuden periaatteen mukaisesti kansallisen oikeuden alaan edellyttäen, että erityisesti vastaavuus- ja tehokkuusperiaatteita noudatetaan, kuten tämän ratkaisuehdotuksen 33 kohdassa on todettu.(29) Euroopan ihmisoikeustuomioistuin(30) ei myöskään katso, että sen tehtävänä olisi lausua lainvastaisesti hankittujen todisteiden  tutkittavaksi ottamisesta,  mikä kuuluu ensisijaisesti kansallisen oikeuden alaan.  Ihmisoikeuksien ja perusvapauksien suojaamiseksi tehdyn yleissopimuksen(31) 6 artiklaa koskevasta Euroopan ihmisoikeustuomioistuimen oikeuskäytännöstä ilmenee, että Euroopan ihmisoikeustuomioistuimen toimivalta liittyy siihen, onko menettely, mukaan lukien tapa, jolla todisteet on hankittu, kokonaisuudessaan oikeudenmukainen. Tähän sisältyy kyseisen ”lainvastaisuuden” tutkiminen ja tapauksissa, joissa on loukattu jotain muuta ihmisoikeussopimuksella suojattua oikeutta, tämän loukkauksen luonteen tutkiminen.(32)
39.      Unionin tuomioistuin on myös jo todennut, että lähtökohtaisesti yksinomaan kansallisessa oikeudessa on määritettävä säännöt, jotka koskevat sellaisten tietojen ja todisteiden, jotka on hankittu tällaisella unionin oikeuden vastaisella tietojen säilyttämisellä, hyväksyttävyyttä ja arviointia rikosprosessissa. Henkilötietoja sisältävien todisteiden hyväksyttävyyttä, huomioon ottamatta jättämistä tai hyödyntämistä koskevissa kansallisissa säännöissä on sen vuoksi noudatettava myös kontradiktorista periaatetta ja oikeutta oikeudenmukaiseen oikeudenkäyntiin.(33) Asian on oltava näin myös siviilioikeudellisten menettelyjen osalta.
40.      Edellä esitetystä seuraa, että asiaa koskevien unionin sääntöjen puuttuessa henkilötietojen hyväksyttävyydellä ja niiden käyttötavoilla kansallisen tuomioistuimen lainkäyttötehtävien yhteydessä mukaan lukien silloin, kun näitä tietoja rasittaa välillisesti se, että niiden hankkimiseen käytettyjä muita henkilötietoja on käsitelty säilytyksen rajoittamista koskevan periaatteen vastaisesti, on oltava oikeusperusta sen jäsenvaltion lainsäädännössä, jota rekisterinpitäjään sovelletaan, yleisen tietosuoja-asetuksen 6 artiklan 3 kohdan b alakohdassa, luettuna yhdessä saman asetuksen 23 artiklan 1 kohdan kanssa, tarkoitetulla tavalla.
41.      Asiakirja-aineistosta ilmenee, että yksi oikeusperusta yhtiön liikeomaisuuden myyntitietojen esittämiselle todisteena oikeudenkäynnissä on siviiliprosessilain 138 §, jossa asetetaan riita-asian asianosaisille velvollisuus selvittää tosiseikat. Liittovaltion tietosuojalain 3 §:ssä säädetään julkisen elimen mahdollisuudesta sellaiseen henkilötietojen käsittelyyn, joka on tarpeen sen toimivaltaan kuuluvan tehtävän suorittamiseksi.(34)
42.      Ennakkoratkaisua pyytänyt tuomioistuin totesi myös, ettei liittovaltion tietosuojalaissa eikä siviiliprosessilaissa ole säännöksiä edellytyksistä, joiden on täytyttävä, tai kriteereistä, joita on punnittava, jotta voidaan määrittää, kuuluuko tuomioistuimen toimivaltaan tai onko sen mahdollista tai sallittua ottaa huomioon asianosaisen esittämät tosiseikat tai asianosaisen tarjoamat todisteet. Ennakkoratkaisua pyytäneen tuomioistuimen mukaan etenkään sellaisia tapauksia koskevia säännöksiä ei ole, joissa asianosainen on hankkinut lainvastaisesti tiedot, joihin se nojautuu, tai joissa se tukeutuu laittomasti hankittuihin todisteisiin. Saksan siviilioikeudellisissa menettelyissä, myös työtuomioistuimessa, tietojen käyttökieltoja sovelletaan vain aikaisemman oikeuskäytännön perusteella.
43.      Ennakkoratkaisupyynnöstä ilmenee myös yhtäältä, että Bundesverfassungsgerichtin (liittovaltion perustuslakituomioistuin, Saksa) vakiintuneen oikeuskäytännön mukaan kansallisten tuomioistuinten on lähtökohtaisesti otettava huomioon asianosaisten esittämät todisteet totuuden selvittämiseksi, jos ja siltä osin kuin tosiseikkoja koskeva väite on merkityksellinen ja se on näytettävä toteen siltä osin kuin se on riitautettu.(35)
44.      Toisaalta Bundesarbeitsgericht (liittovaltion työtuomioistuin, Saksa) katsoi, että on ajateltavissa, että henkilötietojen käsittely tuomioistuimessa on mahdollista, vaikka asianosaisen oikeudenkäyntiä edeltäneessä vaiheessa tai tuomioistuinten ulkopuolisten menettelyjen aikana suorittama kyseisten tietojen kerääminen osoittautuisi yleisen tietosuoja-asetuksen tai kansallisen tietosuojalainsäädännön nojalla lainvastaiseksi. Jos asianosainen kuitenkin kerää tietoja, jotka loukkaavat rekisteröidyn yleisiä henkilöllisyyteen liittyviä oikeuksia, asianosaisen vetoaminen yleiseen todistelua koskevaan intressiin ei riittäisi. Kansallisen tuomioistuimen olisi tällöin otettava huomioon muita seikkoja, joista seuraa, että todisteiden hankkimista koskevaa intressiä on suojeltava henkilöllisyyteen liittyvien oikeuksien loukkaamisesta huolimatta.(36)
45.      Päättelen tästä, että on olemassa kansallinen oikeusperusta, jossa vahvistetaan hyväksyttävyyden edellytykset ja menettelysäännöt henkilötietojen käytölle pääasiassa kyseessä olevan kaltaisessa tilanteessa.
46.      Unionin tuomioistuin on jo täsmentänyt, että on merkityksetöntä, perustuuko henkilötietojen käsittely aineellisen vai menettelyllisen kansallisen oikeuden säännökseen.(37) Unionin tuomioistuin lisäsi, että yleisen tietosuoja-asetuksen 6 artiklan 3 kohdan b alakohdassa tarkoitettu ilmaisu ”rekisterinpitäjään sovellettava jäsenvaltion lainsäädäntö”, tai kyseisen asetuksen 23 artiklassa oleva viittaus ”lainsäädäntötoimenpiteeseen” ei välttämättä edellytä parlamentissa hyväksyttyä säädöstä vaan  kattaa myös kansallisen oikeuskäytännön, kunhan se on selkeä ja täsmällinen ja sen soveltaminen henkilöiden kannalta ennakoitavissa unionin tuomioistuimen ja Euroopan ihmisoikeustuomioistuimen oikeuskäytännön mukaisesti.(38)
47.      Ennakkoratkaisua pyytäneen tuomioistuimen on näin ollen yksilöitävä asian kannalta merkitykselliset kansallisen oikeuden säännökset ja asianomaisen jäsenvaltion oikeuskäytäntö, sovellettava niitä ja tarkistettava, ovatko ne yhtäältä vastaavuus- ja tehokkuusperiaatteiden mukaisia ja vastaavatko ne yleisen edun mukaista tavoitetta ja ovatko ne toisaalta tarpeellisia ja oikeasuhteisia mainittuihin tavoitteisiin nähden, jolloin ne voivat kuulua sellaisiin henkilötietojen käsittelytilanteisiin, joita pidetään lainmukaisina yleisen tietosuoja-asetuksen 6 artiklan 3 kohdan b alakohdassa, luettuna yhdessä sen 23 artiklan 1 kohdan kanssa, tarkoitetussa merkityksessä.(39)
48.      Näin ollen ennakkoratkaisua pyytäneen tuomioistuimen, joka on yksin toimivaltainen tulkitsemaan kansallista oikeutta ja kansallista oikeuskäytäntöä, tehtävänä on arvioida henkilötietoja sisältävien todisteiden hyväksyttävyyttä ja niiden käyttöä koskevia menettelysääntöjä yksittäistapauksen olosuhteiden ja kyseessä olevan menettelylajin edellyttämällä tavalla.
Ratkaisuehdotus
49.      Edellä esitetyn perusteella ehdotan, että unionin tuomioistuin vastaa Landesarbeitsgericht Niedersachsenin (Niedersachsenin työoikeudellisten asioiden ylioikeus, Saksa) esittämän kolmannen ennakkoratkaisukysymyksen b kohtaan seuraavasti:
Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) 5 artiklan 1 kohdan e alakohtaa, luettuna yhdessä kyseisen asetuksen 6 artiklan kanssa,
on tulkittava siten, että
kyseisessä säännöksessä vahvistettu ”säilytyksen rajoittamista koskeva periaate” ei ole esteenä sille, että kansallinen tuomioistuin voi lainkäyttötehtäviensä yhteydessä  käsitellä tietoja, jotka on saatu käyttämällä muita tietoja, jotka on alun perin kerätty tai joita on säilytetty tämän periaatteen vastaisesti.
Kansallisen tuomioistuimen tehtävänä on varmistaa, että sen lainkäyttötehtävien yhteydessä tapahtuvaa tällaisten henkilötietojen käyttöä koskevat menettelysäännöt perustuvat sovellettavaan kansalliseen oikeuteen, ovat vastaavuus- ja tehokkuusperiaatteiden mukaisia, vastaavat yleisen edun mukaista tavoitetta sekä ovat tarpeellisia ja oikeasuhteisia tähän tavoitteeseen nähden.
1      Alkuperäinen kieli: ranska.
2      Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annettu Euroopan parlamentin ja neuvoston asetus (EUVL 2016, L 119, s. 1; jäljempänä yleinen tietosuoja-asetus).
3      BGBl. 2005 I, s. 3202.
4      BGBl. 2017 IS., s. 2097.
5      Jäljempänä perusoikeuskirja.
6      Katson, että ennakkoratkaisua pyytänyt tuomioistuin viittaa lainkäyttötehtävien yhteydessä ilmaisulla ”myöhemmät käsittelytoimet” sekä riita-asiassa todisteena esitettyjen henkilötietojen hyväksyttävyyteen että niiden käyttämiseen oikeudenkäyntimenettelyssä tuomioistuimen ratkaisun perustana.
7      Suhtaudun kuitenkin hieman epäilevästi pitkään jatkumiseen tai tapahtumiseen kauan sitten,  joihin ennakkoratkaisua pyytänyt tuomioistuin viittaa. Asiakirja-aineistosta ilmenee, että on riidanalaista, oliko vastaajalla 31.10.2019 tapahtuneen NTH:n ja vastaajan välisen työsuhteen päättymisen ja 26.6.2022 tapahtuneen puolisoiden eron välisenä aikana edelleen pääsy yhtiön tiloihin ja jatkoiko hän siellä olevien tietokoneiden käyttöä ammatilliseen vai yksinomaan yksityiseen tarkoitukseen. Vaikka ennakkoratkaisua pyytäneen tuomioistuimen on viime kädessä ratkaistava tämä asia, lähden tässä ratkaisuehdotuksessa kolmannen ennakkoratkaisukysymyksen b kohdan sanamuodon valossa siitä olettamasta, että alkuperäisten tietojen kerääminen ja säilyttäminen on tapahtunut tietojen säilytyksen rajoittamista koskevan periaatteen vastaisesti.
8      Huomautan tältä osin, että kuten julkisasiamies Ćapeta toteaa ratkaisuehdotuksessaan Norra Stockholm Bygg (C‑268/21, EU:C:2022:755, 20 kohta), voidaan katsoa, että siltä osin kuin henkilötietojen ensimmäinen käsittelytoimi on yleisen tietosuoja-asetuksen perusteella todettava lainvastaiseksi, näiden samojen tietojen myöhempi käsittely muihin tarkoituksiin olisi siten myös lainvastaista.
9      Ks. vastaavasti tuomio 24.3.2022, Autoriteit Persoonsgegevens (C‑245/20, EU:C:2022:216, 25 ja 34 kohta).
10      Ks. tuomio 20.10.2022, Digi (C‑77/21, EU:C:2022:805, 49 kohta oikeuskäytäntöviittauksineen; jäljempänä tuomio Digi), tuomio 2.3.2023, Norra Stockholm Bygg (C‑268/21, EU:C:2023:145, 29 kohta; jäljempänä tuomio Norra Stockholm Bygg) ja tuomio 4.5.2023, Saksan liittotasavalta (Sähköinen tuomioistuinasioiden postilaatikko) (C‑60/22, EU:C:2023:373, 57 kohta oikeuskäytäntöviittauksineen).
11      Ks. tuomio 4.10.2024, Koninklijke Nederlandse Lawn Tennisbond (C‑621/22, EU:C:2024:858, 29 kohta oikeuskäytäntöviittauksineen).
12      Huomautan, että vaikka Suomen hallitus väittää, että lainkäyttötehtävien yhteydessä suoritettu tietojenkäsittely on yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohdan soveltamisalaan kuuluvaa käsittelyä, ja vaikka ennakkoratkaisua pyytänyt tuomioistuin mainitsee ennakkoratkaisupyynnössään tämän säännöksen, asiakirja-aineistosta ei ilmene, että pääasiassa kyseessä olevien tietojen käsittely olisi tarpeen kyseisen tuomioistuimen lakisääteisen velvoitteen noudattamiseksi.
13      Ks. tuomio Digi (23 kohta oikeuskäytäntöviittauksineen).
14      Ks. tuomio Digi (53 ja 54 kohta).
15      Ks. julkisasiamies Pikamäen ratkaisuehdotus Digi (C‑77/21, EU:C:2022:248, 29, 30, 62 ja 64 kohta).
16      Ks. tuomio 7.5.2009, Rijkeboer (C‑553/07, EU:C:2009:293, 33 ja 35 kohta), joka koski yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta  liikkuvuudesta 24.10.1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY 6 artiklan 1 kohdan e alakohtaa (EYVL 1995, L 281, s. 31), jota vastaava säännös on yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan e alakohdassa; ks. myös tuomio Digi (59 kohta).
17      Ks. tuomio 11.12.2019, Asociaţia de Proprietari block M5A-ScaraA (C‑708/18, EU:C:2019:1064, 29 kohta).
18      Ks. analogisesti tuomio 2.3.2021, Prokuratuur (Sähköiseen viestintään liittyvien tietojen saannin edellytykset) (C‑746/18, EU:C:2021:152, 42 kohta).
19      Ks. tuomio 3.4.2025, Ministerstvo zdravotnictví (Oikeushenkilön edustajaa koskevat tiedot) (C‑710/23, EU:C:2025:231, 40 kohta).
20      ”– – Henkilötietojen käsittelyn lakisääteisen velvoitteen noudattamiseksi tai yleisen edun vuoksi toteutettavan tehtävän tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi jäsenvaltioiden olisi voitava pitää voimassa tai ottaa käyttöön kansallisia säännöksiä, joilla tämän asetuksen sääntöjen soveltamista voitaisiin täsmentää entisestään. – –”
21      ”Vaikka tätä asetusta sovelletaan muun muassa tuomioistuinten ja muiden oikeusviranomaisten toimintaan, unionin oikeudessa tai jäsenvaltion lainsäädännössä voitaisiin täsmentää käsittelytoimia ja ‑menettelyitä tuomioistuinten ja muiden oikeusviranomaisten suorittaman henkilötietojen käsittelyn osalta. – –”
22      ”Kun käsittely tapahtuu rekisterinpitäjää koskevan lakisääteisen velvoitteen mukaisesti tai kun se on tarpeen yleisen edun vuoksi toteutettavan tehtävän tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi, käsittelyllä olisi oltava perusta unionin oikeudessa tai jäsenvaltion lainsäädännössä. – –”
23      Ks. tuomio Norra Stockholm Bygg (32 kohta) ja tuomio 3.4.2025, Ministerstvo zdravotnictví (Oikeushenkilön edustajaa koskevat tiedot) (C‑710/23, EU:C:2025:231, 37 kohta).
24      Saksan hallitus lisää, että ennakkoratkaisua pyytäneen tuomioistuimen suorittama henkilötietojen käsittely voi kuulua myös yleisen tietosuoja-asetuksen 23 artiklan 1 kohdan f alakohdassa vahvistetun oikeudellisen riippumattomuuden ja oikeudellisten menettelyjen suojelua  koskevan tavoitteen piiriin.
25      Ks. vastaavasti tuomio 24.2.2022, Valsts ieņēmumu dienests (Henkilötietojen käsittely verotusta varten) (C‑175/20, EU:C:2022:124, 51 kohta; jäljempänä tuomio Valsts ieņēmumu dienests) ja julkisasiamies Pikamäen ratkaisuehdotus I. (Tietokannan myyminen) (C‑693/22, EU:C:2024:162, 85–88 kohta).
26      Ks. tuomio Norra Stockholm Bygg (49 kohta). Henkilötietojen suojaa koskevan oikeuden ja tehokasta oikeussuojaa koskevan oikeuden tarkempi punnitseminen  kuuluu kolmannen ennakkoratkaisukysymyksen d kohdan alaan, joka ei ole tämän rajatun ratkaisuehdotuksen kohteena.
27      Ks. vastaavasti tuomio 22.6.2021, Latvijas Republikas Saeima (Liikennerikkomuspisteet) (C‑439/19, EU:C:2021:504, 105 kohta oikeuskäytäntöviittauksineen).
28      Ks. vastaavasti tuomio Valsts ieņēmumu dienests (83 kohta oikeuskäytäntöviittauksineen), jossa käsiteltiin yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohdasta ilmenevän oikeasuhteisuutta koskevan vaatimuksen noudattamista. Huomautan tältä osin, että kolmannen ennakkoratkaisukysymyksen a kohta, joka ei ole tämän rajatun ratkaisuehdotuksen kohteena, koskee erityisesti oikeasuhteisuuden tarkastelua.
29      Ks. tuomio 2.3.2021, Prokuratuur (Sähköiseen viestintään liittyvien tietojen saannin edellytykset) (C‑746/18, EU:C:2021:152, 41–44 kohta) ja tuomio 5.4.2022, Commissioner of An Garda Síochána ym. (C‑140/20, EU:C:2022:258, 127 kohta).
30      Jäljempänä Euroopan ihmisoikeustuomioistuin.
31      Allekirjoitettu Roomassa 4.11.1950.
32      Ks. Euroopan ihmisoikeustuomioistuimen tuomio 12.5.2000, Khan v. Yhdistynyt kuningaskunta (CE:ECHR:2000:0512JUD003539497, 34 kohta oikeuskäytäntöviittauksineen) ja Euroopan ihmisoikeustuomioistuimen tuomio 10.3.2009, Bykov v. Venäjä (CE:ECHR:2009:0310JUD000437802, 88 ja 89 kohta oikeuskäytäntöviittauksineen). Ks. myös Euroopan ihmisoikeustuomioistuimen tuomio 15.1.2015, Dragojević v. Kroatia (CE:ECHR:2015:0115JUD006895511, 129 kohta) ja Euroopan ihmisoikeustuomioistuimen tuomio 16.2.2021, Budak v. Turkki (CE:ECHR:2021:0216JUD006976212, 71 kohta), joissa Euroopan ihmisoikeustuomioistuin lisäsi, että sen arvioimiseksi, onko oikeudenkäynti ollut kokonaisuudessaan oikeudenmukainen, on tutkittava, onko puolustautumisoikeuksia kunnioitettu, mikä edellyttää sen tutkimista, onko kantajalla ollut mahdollisuus riitauttaa todisteiden aitous ja vastustaa niiden käyttöä, sekä todistusaineiston laadun huomioon ottamista, mukaan lukien se, herättävätkö olosuhteet, joissa ne on hankittu, epäilyksiä niiden luotettavuudesta tai paikkansapitävyydestä.
33      Ks. tuomio 6.10.2020, La Quadrature du Net ym. (C‑511/18, C‑512/18 ja C‑520/18, EU:C:2020:791, 221, 222 ja 225–227 kohta), joka koskee muun muassa sitä, onko unionin oikeus esteenä henkilötietojen käsittelystä ja yksityisyyden suojasta sähköisen viestinnän alalla 12.7.2002 annetun Euroopan parlamentin ja neuvoston direktiivin 2002/58/EY (sähköisen viestinnän tietosuojadirektiivi) (EYVL 2002, L 201, s. 37)  vaatimusten vastaisesti hankittujen tietojen ja todisteiden käyttämiselle rikosoikeudellisessa menettelyssä.
34      Saksan hallitus lisää, että siviiliprosessilain 138, 286 ja 355 §:n ja sitä seuraavien pykälien tarkoituksena on yleensä määrittää tuomion kannalta merkitykselliset tosiseikat ja että kyseisen lain 286 §:n ja perustuslain 103 §:n 1 momentin säännökset yhdessä luettuina merkitsevät sitä, että tuomioistuinten on lähtökohtaisesti otettava huomioon asianosaisten esittämät tosiseikat ja niiden esittämät todisteet.
35      Ks. Bundesverfassungsgericht (Liittovaltion perustuslakituomioistuin), päätös 9.10.2002 (1 BVR 1611/96, BVerfGE 106, 28–51, DE:BVerfG:2002:rs20021009.1bvr161196, 60 kohta).
36      Bundesarbeitsgerichtin (liittovaltion työtuomioistuin) toinen jaosto katsoi näin ollen 29.6.2023 antamassaan tuomiossa (2 AZR 297/22, DE:BAG:2023:290623.U.2AZR297.22.0), että tällainen päätelmä ilmeni selvästi yleisen tietosuoja-asetuksen 17 artiklasta. Saksan hallitus vahvistaa tämän kyseisessä tuomiossa tehdyn tulkinnan. Se lisää, että tämän oikeuskäytännön mukaan tuomioistuin voi olla velvollinen jättämään huomiotta tietyt todistelukeinot myös silloin, kun niiden käyttö merkitsisi oikeudenkäynnin asianosaisen perusoikeuksien vakavaa loukkaamista. Täsmennän tältä osin, että kysymys siitä, voiko yksityinen vedota oikeuksiinsa, jos on olemassa oikeutettu intressi todisteluun, kuuluu tarkemmin sanoen kolmannen ennakkoratkaisukysymyksen c kohdan  alaan, joka ei ole tämän rajatun  ratkaisuehdotuksen kohteena.
37      Ks. tuomio Norra Stockholm Bygg (40 kohta).
38      Ks. yleisen tietosuoja-asetuksen johdanto-osan 41 perustelukappale sekä vastaavasti tuomio Valsts ieņēmumu dienests (52 ja 56 kohta) ja tuomio 12.9.2024, HTB Neunte Immobilien Portfolio ja Ökorenta Neue Energien Ökostabil IV (C‑17/22 ja C‑18/22, EU:C:2024:738, 71 kohta).
39      Unionin tuomioistuin on jo katsonut, että kansallisen oikeuden säännökset, jotka koskevat asiakirjan esittämistä todisteena, voivat kuulua tapauksiin, joissa henkilötietojen käsittely on lainmukaista yleisen tietosuoja-asetuksen 6 artiklan 3 ja 4 kohdan nojalla, luettuna yhdessä sen 23 artiklan 1 kohdan f ja j alakohdan kanssa
(ks. tuomio Norra Stockholm Bygg, 45 kohta), tai jopa, että kun tuomioistuin käyttää sille kansallisessa lainsäädännössä annettua toimivaltaa, on sellaista henkilötietojen käsittelyä, joka sen on suoritettava, pidettävä tarpeellisena kyseisen asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan e alakohdassa tarkoitetun päämäärän saavuttamiseksi (ks. tuomio 4.5.2023, Saksan liittotasavalta (Sähköinen tuomioistuinasioiden postilaatikko), C‑60/22, EU:C:2023:373, 73 kohta).