Liidetud kohtuasjad C‑468/10 ja C‑469/10

Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF)

ja

Federación de Comercio Electrónico y Marketing Directo (FECEMD)

versus

Administración del Estado

(eelotsusetaotlused, mille on esitanud Tribunal Supremo)

Isikuandmete töötlemine – Direktiiv 95/46/EÜ – Artikli 7 punkt f – Vahetu õigusmõju

Kohtuotsuse kokkuvõte

1. Õigusaktide ühtlustamine – Füüsiliste isikute kaitse isikuandmete töötlemisel – Direktiiv 95/46 – Täielik ühtlustamine – Isikuandmete seadusliku töötlemise juhtude ammendav loetelu

(Euroopa Parlamendi ja nõukogu direktiiv 95/46, artikkel 7)

2. Õigusaktide ühtlustamine – Füüsiliste isikute kaitse isikuandmete töötlemisel – Direktiiv 95/46 – Isikuandmete töötlemise seaduslikkuse tingimused

(Euroopa Liidu põhiõiguste harta, artiklid 7 ja 8; Euroopa Parlamendi ja nõukogu direktiiv 95/46, artikkel 5 ja artikli 7 punkt f)

3. Õigusaktide ühtlustamine – Füüsiliste isikute kaitse isikuandmete töötlemisel – Direktiiv 95/46 – Liikmesriikide kaalutlusruum – Ulatus

(Euroopa Parlamendi ja nõukogu direktiiv 95/46, artikkel 5)

4. Õigusaktide ühtlustamine – Füüsiliste isikute kaitse isikuandmete töötlemisel – Direktiiv 95/46 – Isikuandmete töötlemise seaduslikkuse tingimused

(Euroopa Liidu põhiõiguste harta, artiklid 7 ja 8; Euroopa Parlamendi ja nõukogu direktiiv 95/46, artikli 7 punkt f)

5. Põhiõigused – Eraelu austamine – Isikuandmete kaitse – Euroopa Liidu põhiõiguste harta alusel aktsepteeritud piirangud

(Euroopa Liidu põhiõiguste harta, artiklid 7, 8 ja artikli 52 lõige 1)

6. Institutsioonide aktid – Direktiivid – Vahetu õigusmõju – Tingimused

(EÜ artikli 249 kolmas lõik; Euroopa Parlamendi ja nõukogu direktiiv 95/46, artikli 7 punkt f)

1. Direktiivis 95/46 üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta sätestatud siseriiklike õigusaktide ühtlustamine ei piirdu minimaalse ühtlustamisega, vaid viib põhimõtteliselt täieliku ühtlustamiseni. Just seda silmas pidades püütakse selle direktiiviga kindlustada isikuandmete vaba liikumine, tagades ühtlasi andmesubjektide õiguste ja huvide kõrgetasemelise kaitse. Seega tuleneb sellest, et nimetatud direktiivi artikkel 7 näeb ette ammendava ja piirava loetelu juhtudest, millal isikuandmete töötlemist võib pidada seaduslikuks. Sellest järeldub, et liikmesriigid ei saa lisada selle direktiivi artiklile 7 uusi isikuandmete töötlemise seaduslikkust puudutavaid kriteeriume ega kehtestada täiendavaid nõudeid, mis muudavad selles artiklis sätestatud kriteeriumidest mõne kriteeriumi ulatust.

Eeltoodud tõlgendust ei sea kahtluse alla liikmesriikidele direktiivi 95/46 artiklist 5 tulenev õigus määrata täpsemalt kindlaks tingimused, mille puhul isikuandmete töötlemine on seaduslik. Nimelt ei saa liikmesriigid neil direktiivi artikli 5 kohaselt oleva kaalutlusruumi alusel kehtestada ka muid isikuandmete töötlemise seaduslikkust puudutavaid kriteeriume, kui neid, mis on sätestatud selle direktiivi artiklis 7, ega muuta täiendavate nõuetega nimetatud artiklis 7 sätestatud kriteeriumide ulatust.

(vt punktid 29 ja 30, 32 ja 33, 35 ja 36)

2. Direktiivi 95/46 üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta artikli 7 punkti f tuleb tõlgendada nii, et sellega on vastuolus siseriiklikud õigusnormid, mis nõuavad selleks, et ilma andmesubjekti nõusolekut küsimata võiks tema isikuandmeid töödelda, mis on vajalik vastutava töötleja või andmeid saava kolmanda isiku või kolmandate isikute õigustatud huvide elluviimiseks, lisaks sellele, et ei tohi rikkuda andmesubjekti põhiõigusi ja ‑vabadusi, ka seda, et kõnealused andmed oleksid avalikkusele kättesaadavates allikates, välistades seega kategooriliselt ja üldiselt kõikide nende andmete töötlemise, mis ei sisaldu sellistes allikates.

Nimelt tuleneb ühelt poolt selle direktiivi eesmärgist kindlustada isikuandmete vaba liikumine, tagades ühtlasi andmesubjektide õiguste ja huvide kõrgetasemelise kaitse, et selle artikkel 7 näeb ette ammendava ja piirava loetelu juhtudest, millal isikuandmete töötlemist võib pidada seaduslikuks. Järelikult ei saa liikmesriigid lisada uusi isikuandmete töötlemise seaduslikkust puudutavaid kriteeriume ega kehtestada täiendavaid nõudeid, mis muudavad selles artiklis 7 sätestatud kriteeriumidest mõne kriteeriumi ulatust. Lisaks ei saa liikmesriigid nimetatud direktiivi artikli 5 alusel kehtestada ka muid isikuandmete töötlemise seaduslikkust puudutavaid kriteeriume, kui neid, mis on sätestatud artiklis 7, ega muuta täiendavate nõuetega nimetatud artiklis 7 sätestatud kriteeriumide ulatust.

Teisalt võivad liikmesriigid kehtestada sama direktiivi artikli 7 punktis f sätestatud kõnealuste vastandlike õiguste ja huvide vajalikuks kaalumiseks suuniseid. Nad võivad võtta ka arvesse asjaolu, et nimetatud töötlemisega andmesubjekti põhiõigustele kaasneva riive raskus võib sõltuda sellest, kas asjaomased andmed on juba esitatud avalikkusele kättesaadavates allikates või ei ole seda tehtud. Viimasel juhul oleks tegemist raskema riivega.

Tegemist ei ole enam aga pelgalt täpsustamisega, vaid selle direktiivi artikli 7 punktiga f keelatud täiendava nõudega, kui siseriiklikud õigusnormid välistavad teatavate isikuandmete kategooriate osas nende töötlemise võimaluse, nähes nende kategooriate suhtes lõplikult ette vastanduvate õiguste ja huvide kaalumise tulemuse, ilma et lubatud oleks konkreetse juhtumi erilistest asjaoludest lähtuv teistsugune tulemus.

(vt punktid 29 ja 30, 32, 36, 44–49, resolutsiooni punkt 1)

3. Direktiivi 95/46 üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta norme iseloomustab teatav paindlikkus ning üksikasjade üle otsustamine või mitme võimaluse hulgast valiku tegemine on paljudel juhtudel jäetud liikmesriikide hooleks. Seega tuleb vahet teha ühelt poolt siseriiklike meetmete vahel, mis näevad ette täiendavaid nõudeid ja muudavad mõne selle direktiivi artiklis 7 sätestatud kriteeriumi ulatust ning teiselt poolt siseriiklike meetmete vahel, mis üksnes täpsustavad ühte neist kriteeriumidest. Esimest tüüpi siseriiklik meede on keelatud. Liikmesriikidel on nimetatud direktiivi artikli 5 alusel kaalutlusruum üksnes teist tüüpi siseriiklike meetmete osas.

(vt punkt 35)

4. Direktiivi 95/46 üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta artikli 7 punkt f näeb ette selleks, et isikuandmete töötlemine oleks seaduslik, kaks kumulatiivset tingimust, milleks on ühelt poolt, et isikuandmete töötlemine peab olema vajalik vastutava töötleja või andmeid saava kolmanda isiku või kolmandate isikute õigustatud huvide elluviimiseks, ning teiselt poolt, et andmesubjekti põhiõigused ja ‑vabadused ei kaalu neid huve üles. Neist tingimustest teise puhul on vajalik asjaomaste vastanduvate õiguste ja huvide kaalumine, mis sõltub põhimõtteliselt asjaomase üksikjuhtumi konkreetsetest asjaoludest ning mille raames peab kaalumist teostav isik või institutsioon võtma arvesse Euroopa Liidu põhiõiguste harta artiklitest 7 ja 8 tulenevate andmesubjekti õiguste olulisust.

(vt punktid 38, 40)

5. Euroopa Liidu põhiõiguste harta artiklitega 7 ja 8 tunnustatud õigus eraelu austamisele isikuandmete töötlemisel puudutab igasugust teavet tuvastatud või tuvastatava füüsilise isiku kohta. Siiski tuleneb harta artikli 8 lõikest 2 ja artikli 52 lõikest 1, et teatavatel tingimustel võib seda õigust piirata.

(vt punkt 42)

6. Alati kui direktiivi sätted näivad olevat sisu poolest tingimusteta ja piisavalt täpsed, võivad isikud neile siseriiklikus kohtus vaidluses riigi vastu tugineda, muu hulgas juhul, kui riik on jätnud direktiivi tähtaegselt siseriiklikku õigusesse üle võtmata või on selle valesti üle võtnud. See on nii ka direktiivi 95/46 üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta artikli 7 punkti f puhul. Kuigi liikmesriikidel on direktiivi kohaselt teatavate selle sätete rakendamisel suurem või väiksem kaalutlusruum, näeb artikli 7 punkt f ette tingimusteta kohustuse.

(vt punktid 51 ja 52, 55, resolutsiooni punkt 2)

EUROOPA KOHTU OTSUS (kolmas koda)

24. november 2011( )

Isikuandmete töötlemine – Direktiiv 95/46/EÜ – Artikli 7 punkt f – Vahetu õigusmõju

Liidetud kohtuasjades C‑468/10 ja C‑469/10,

mille ese on ELTL artikli 267 alusel Tribunal Supremo (Hispaania) 15. juuli 2010. aasta otsustega esitatud eelotsusetaotlused, mis saabusid Euroopa Kohtusse 28. septembril 2010, menetlustes

Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF) (C‑468/10),

Federación de Comercio Electrónico y Marketing Directo (FECEMD) (C‑469/10)

versus

Administración del Estado,

menetluses osalesid:

Unión General de Trabajadores (UGT) (C‑468/10 ja C‑469/10),

Telefónica de España SAU (C‑468/10),

France Telecom España SA (C‑468/10 ja C‑469/10),

Telefónica Móviles de España SAU (C‑469/10),

Vodafone España SA(C‑469/10),

Asociación de Usuarios de la Comunicación(C‑469/10),

EUROOPA KOHUS (kolmas koda),

koosseisus: koja esimees K. Lenaerts (ettekandja), kohtunikud R. Silva de Lapuerta, E. Juhász, T. von Danwitz ja D. Šváby,

kohtujurist: P. Mengozzi,

kohtusekretär: vanemametnik M. Ferreira,

arvestades kirjalikus menetluses ja 15. septembri 2011. aasta kohtuistungil esitatut,

arvestades kirjalikke märkusi, mille esitasid:

– Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF), esindajad: abogado C. Alonso Martínez ja abogado A. Creus Carreras,

– Federación de Comercio Electrónico y Marketing Directo (FECEMD), esindajad: abogado R. García del Poyo Vizcaya ja abogado M. Á. Serrano Pérez,

– Hispaania valitsus, esindaja: M. Muñoz Pérez,

– Euroopa Komisjon, esindajad: I. Martínez del Peral ja B. Martenczuk,

arvestades pärast kohtujuristi ärakuulamist tehtud otsust lahendada kohtuasi ilma kohtujuristi ettepanekuta,

on teinud järgmise

otsuse

1 Eelotsusetaotlused käsitlevad Euroopa Parlamendi ja nõukogu 24. oktoobri 1995. aasta direktiivi 95/46/EÜ üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta (EÜT L 281, lk 31; ELT eriväljaanne 13/15, lk 355) artikli 7 punkti f tõlgendamist.

2 Taotlused on esitatud ühelt poolt Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF) ja Federación de Comercio Electrónico y Marketing Directo (FECEMD) ning teiselt poolt Administración del Estado vahelises kohtuvaidluses.

Õiguslik raamistik

Liidu õigus

Direktiiv 95/46

3 Direktiivi 95/46 põhjendused 7, 8 ja 10 on sõnastatud järgmiselt:

„(7) üksikisikute õiguste ja vabaduste, eelkõige eraelu puutumatuse õiguse kaitse tase seoses isikuandmete töötlemisega on liikmesriigiti erinev ja see võib takistada selliste andmete edastamist ühest liikmesriigist teise; seega võivad nimetatud erinevused saada takistuseks paljudele ühenduse tasandi majandustegevustele, moonutada konkurentsi ja takistada ametiasutusi nende ühenduse õigusest tulenevate kohustuste täitmisel; kõnealused erinevused kaitse tasemes tulenevad kehtivate siseriiklike õigusnormide mitmekesisusest;

(8) takistuste kõrvaldamiseks isikuandmete liikumisel peab selliste andmete töötlemisega seotud üksikisikute õiguste ja vabaduste kaitse olema kõigis liikmesriikides samal tasemel; nimetatud eesmärk on siseturu seisukohast äärmiselt oluline, kuid liikmesriigid ei saa seda saavutada üksi, silmas pidades liikmesriikide asjaomaste õigusaktide praegusi ulatuslikke erinevusi ja vajadust kooskõlastada liikmesriikide õigusakte tagamaks, et isikuandmete piiriülest liikumist reguleeritaks järjepidevalt ja viisil, mis on kooskõlas […] siseturu eesmärgiga; seetõttu on kõnealuste õigusaktide ühtlustamiseks vaja ühenduse meetmeid;

[...]

(10) isikuandmete töötlemist käsitlevate õigusaktide eesmärk on kaitsta [4. novembril 1950 Roomas allkirjastatud] Euroopa inimõiguste ja põhivabaduste kaitse konventsiooni [edaspidi „EIÕK”] artiklis 8 ja ühenduse õiguse üldistes põhimõtetes tunnustatud põhiõigusi ja -vabadusi, eelkõige õigust eraelu puutumatusele; nimetatud põhjusel ei tohi kõnealuste õigusaktide ühtlustamise tagajärjel nendega pakutav kaitse väheneda, vaid vastupidi – ühenduses tagatava kaitstuse tase peab olema kõrgem”.

4 Nimetatud direktiivi artikkel 1 „Direktiivi eesmärk” on sõnastatud järgmiselt:

„1. Vastavalt käesolevale direktiivile kaitsevad liikmesriigid isikuandmete töötlemisel füüsiliste isikute põhiõigusi ja -vabadusi ning eelkõige nende õigust eraelu puutumatusele.

2. Liikmesriigid ei piira ega keela isikuandmete vaba liikumist liikmesriikide vahel põhjustel, mis on seotud lõikes 1 sätestatud kaitsega.”

5 Sama direktiivi artikkel 5 on sõnastatud järgmiselt:

„Kuivõrd see on lubatud käesoleva peatüki sätetega, määravad liikmesriigid täpsemalt kindlaks tingimused, mille puhul isikuandmete töötlemine on seaduslik.”

6 Direktiivi 95/46 artikkel 7 sätestab:

„Liikmesriigid sätestavad, et isikuandmeid võib töödelda ainult juhul, kui:

a) andmesubjekt on selleks andnud oma ühemõttelise nõusoleku

või

[...]

f) töötlemine on vajalik vastutava töötleja või andmeid saava kolmanda isiku või kolmandate isikute õigustatud huvide elluviimiseks, kui selliseid huve ei kaalu üles artikli 1 lõike 1 kohaselt kaitstavate andmesubjekti põhiõiguste ja -vabadustega seotud huvid.”

7 Nimetatud direktiivi artikli 13 lõige 1 näeb ette:

„Liikmesriigid võivad artikli 6 lõikes 1, artiklis 10, artikli 11 lõikes 1 ja artiklites 12 ja 21 sätestatud kohustuste ja õiguste ulatuse piiramiseks võtta vastu õigusakte, kui sellised piirangud on vajalikud, et kindlustada:

a) riigi julgeolek;

b) riigikaitse;

c) avalik kord;

d) kuritegude või reguleeritud kutsealade ametieetika rikkumiste ennetamine, uurimine, avastamine ja nende eest vastutuselevõtmine;

e) liikmesriigi või Euroopa Liidu olulised majanduslikud või rahanduslikud huvid, sealhulgas raha-, eelarve- ja maksuküsimused;

f) jälgimine, kontrollimine ja regulatiivne funktsioon, mis on kas või ajutiselt seotud avaliku võimu teostamisega punktides c, d ja e osutatud juhtudel;

g) andmesubjekti kaitse või teiste isikute õiguste ja vabaduste kaitse.”

Siseriiklik õigus

Konstitutsiooniline seadus 15/1999

8 Isikuandmete kaitset käsitlev konstitutsiooniline seadus 15/1999 (BOE nr 298, 14.12.1999, lk 43088) võtab Hispaania õigusesse üle direktiivi 95/46.

9 Konstitutsioonilise seaduse 15/1999 artikli 3 punkt j määratleb „avalikkusele kättesaadavad allikad” ammendavas ja piiravas loetelus järgmiselt:

„[...] failid, millega saab tutvuda iga isik ilma piiranguteta või muude tingimusteta, välja arvatud vajadusel kasutustasu maksmine. Avalikkusele kättesaadavad allikad on ainult valijate nimekirjad, telefonikataloogid vastavalt nende erieeskirjadele ja kutseühendustesse kuuluvate isikute nimekirjad, mis sisaldavad üksnes nime, tiitlit, eriala, tegevusala, akadeemilist kraadi, aadressi ja ühendusse kuuluvust. Avalikkusele kättesaadavad allikad on samuti ametlikud väljaanded ning massiteabevahendid.”

10 Konstitutsioonilise seaduse 15/1999 artikli 6 lõige 1 nõuab andmete töötlemiseks andmesubjekti ühemõttelist nõusolekut, välja arvatud juhul, kui seadus sätestab teisiti. Sama seaduse artikli 6 lõike 2 lõpuosa näeb ette, et nõusolekut ei ole vaja eeskätt „kui andmed on esitatud avalikkusele kättesaadavates allikates ja nende töötlemine on vajalik vastutava failitöötleja või selle kolmanda isiku õigustatud huvides, kellele andmed edastatakse, tingimusel et ei rikuta andmesubjekti põhiõigusi ja -vabadusi.”

11 Konstitutsioonilise seaduse 15/1999 artikli 11 lõige 1 kordab, et isikuandmete kolmandatele isikutele edastamiseks on vaja andmesubjekti nõusolekut, kusjuures selle artikli lõike 2 kohaselt ei ole see nõue muu hulgas vajalik, kui andmed on kogutud avalikkusele kättesaadavatest allikatest.

Kuninga dekreet 1720/2007

12 Hispaania valitsus rakendas konstitutsioonilise seaduse 15/1999 kuninga dekreediga 1720/2007 (BOE nr 17, 19.1.2008, lk 4103).

13 Kuninga dekreedi 1720/2007 artikli 10 lõige 1 lubab isikuandmete töötlemist ja väljastamist andmesubjekti eelneval loal.

14 Kuninga dekreedi 1720/2007 artikli 10 lõige 2 näeb sellegipoolest ette, et:

„[…] isikuandmete töötlemine või väljastamine on siiski võimalik, ilma et selleks oleks vaja andmesubjekti luba, kui:

a) see on lubatud seaduse tasemel õigusnormiga või ühenduse õigusnormiga ja eelkõige järgmistel juhtudel:

– andmeid töödeldakse või väljastatakse vastutava töötleja või andmesaaja õigustatud huvides, mis on kaitstud kõnealuste õigusnormidega, tingimusel et neid ei kaalu üles andmesubjektide huvid või põhiõigused ja ‑vabadused, mis on ette nähtud 13. detsembri konstitutsioonilise seaduse 15/1999 artiklis 1;

– andmete töötlemine või väljastamine on vajalik kõnealustest õigusnormidest tulenevate vastutava töötleja kohustuste täitmiseks;

b) töödeldavad või väljastatavad andmed esinevad avalikkusele kättesaadavates allikates ja andmefaili eest vastutaval isikul või kolmandal isikul, kellele andmed edastatakse, on õigustatud huvi nende töötlemiseks või tundmiseks, tingimusel et ei rikuta andmesubjekti põhiõigusi ja ‑vabadusi.

Siiski võivad avalik-õiguslikud asutused avalikkusele kättesaadavatest allikatest kogutud andmeid käesoleva lõike alusel edastada eraõiguslikele vastutavatele failitöötlejatele ainult juhul, kui see on neil lubatud seaduse tasemel õigusnormiga.”

Põhikohtuasjad ja eelotsuse küsimused

15 ASNEF ühelt poolt ja FECEMD teiselt poolt esitasid halduskaebused paljude kuninga dekreedi 1720/2007 artiklite peale.

16 Vaidlustatud sätete hulgas on nimetatud dekreedi artikli 10 lõike 2 punkti a esimene taane ja punkti b esimene lõik, mis rikuvad ASNEF‑i ja FECEMD‑i väitel direktiivi 95/46 artikli 7 punkti f.

17 ASNEF ja FECEMD leiavad eelkõige, et Hispaania õiguses lisatakse andmete ilma andmesubjekti nõusolekuta töötlemise eeltingimuseks lisaks õigustatud huvile nõue, mida direktiivis 95/46 ei ole, nimelt et andmed peavad olema avalikkusele kättesaadavas allikas.

18 Tribunal Supremo leiab, et ASNEF‑i ja FECEMD‑i esitatud kaebuste põhjendatus sõltub suurel määral sellest, kuidas Euroopa Kohus tõlgendab direktiivi 95/46 artikli 7 punkti f. Tribunal Supremo täpsustab, et kui Euroopa Kohus järeldab, et liikmesriikidel ei ole õigust kehtestada lisaks selles sättes ette nähtud nõuetele täiendavaid nõudeid ning tunnustada saab selle sätte vahetut õigusmõju, siis tuleb jätta kuninga dekreedi 1720/2007 artikli 10 lõike 2 punkt b kohaldamata.

19 Tribunal Supremo selgitab, et Hispaania õigus nõuab selleks, et andmesubjekti nõusolekut küsimata võiks tema isikuandmeid töödelda, mis on vajalik vastutava töötleja või andmeid saavate kolmandate isikute õigustatud huvides, lisaks sellele, et ei tohi rikkuda andmesubjekti põhiõigusi ja ‑vabadusi, et nimetatud andmed esineksid konstitutsioonilise seaduse 15/1999 artikli 3 punktis j loetletud failides. Sellega seoses leiab ta, et nimetatud seadus ja kuninga dekreet 1720/2007 piiravad direktiivi 95/46 artikli 7 punkti f kohaldamisala.

20 Tribunal Supremo leiab, et see piirang kujutab endast isikuandmete vaba liikumise takistust, mis on direktiiviga 95/46 kooskõlas üksnes juhul, kui see on vajalik andmesubjekti huvides või tema põhiõiguste ja ‑vabaduste kaitseks. Sellest järeldub, et ainus võimalus vältida vastuolu selle direktiivi ja Hispaania õiguse vahel oleks seisukoht, et nende isikuandmete vaba liikumine, mis sisalduvad muudes failides kui konstitutsioonilise seaduse 15/1999 artikli 3 punktis j loetletud failid, rikub andmesubjekti huve või tema põhiõigusi ja ‑vabadusi.

21 Tribunal Supremol on tekkinud siiski küsimus, kas selline tõlgendus on kooskõlas liidu seadusandja tahtega.

22 Neil asjaoludel otsustas Tribunal Supremo – leides, et tema menetluses oleva mõlema kohtuvaidluse lahendus sõltub liidu õigusnormide tõlgendusest – menetluse peatada ning esitada Euroopa Kohtule järgmised eelotsuse küsimused, mis on mõlema kohtuasja puhul sõnastatud identselt:

„1. Kas […] direktiivi 95/46 […] artikli 7 punkti f tuleb tõlgendada nii, et sellega on vastuolus siseriiklik õigusnorm, mis lisaks sellele, et ei tohi rikkuda andmesubjekti põhiõigusi ja ‑vabadusi, nõuab, et andmed oleksid avalikkusele kättesaadavates allikates, selleks et ilma andmesubjekti nõusolekut küsimata võiks tema isikuandmeid töödelda, mis on vajalik vastutava töötleja või andmeid saavate kolmandate isikute õigustatud huvide elluviimiseks?

2. Kas kõnealuse artikli 7 punkti f puhul on täidetud tingimused, mis on Euroopa Kohtu praktika kohaselt nõutavad selleks, et anda sellele sättele vahetu õigusmõju?”

23 Euroopa Kohtu presidendi 26. oktoobri 2010. aasta määrusega liideti kohtuasjad C‑468/10 ja C‑469/10 kirjaliku ja suulise menetluse ning kohtuotsuse huvides.

Eelotsuse küsimused

Esimene küsimus

24 Eelotsusetaotluse esitanud kohus soovib oma esimese küsimusega sisuliselt teada seda, kas direktiivi 95/46 artikli 7 punkti f tuleb tõlgendada nii, et sellega on vastuolus siseriiklikud õigusnormid, mis nõuavad selleks, et ilma andmesubjekti nõusolekuta võiks tema isikuandmeid töödelda, mis on vajalik vastutava töötleja või andmeid saava kolmanda isiku või kolmandate isikute õigustatud huvide elluviimiseks, lisaks sellele, et ei tohi rikkuda andmesubjekti põhiõigusi ja ‑vabadusi, ka seda, et kõnealused andmed oleksid avalikkusele kättesaadavates allikates.

25 Direktiivi 95/46 artikkel 1 kohustab liikmesriike kaitsma isikuandmete töötlemisel füüsiliste isikute põhiõigusi ja -vabadusi ning eelkõige nende õigust eraelu puutumatusele (vt selle kohta 16. detsembri 2008. aasta otsus kohtuasjas C‑524/06: Huber, EKL 2008, lk I‑9705, punkt 47).

26 Vastavalt direktiivi 95/46 II peatüki „Üldised eeskirjad isikuandmete töötlemise seaduslikkuse kohta” sätetele tuleb juhul, kui selle direktiivi artiklis 13 toodud erandid ei sätesta teisiti, isikuandmete töötlemisel ühelt poolt järgida põhimõtteid andmete kvaliteedi kohta, mis on sätestatud direktiivi artiklis 6, ning teiselt poolt peab töötlemine vastama ühele kuuest andmetöötluse seaduslikkuse kriteeriumist, mis on loetletud sama direktiivi artiklis 7 (vt selle kohta 20. mai 2003. aasta otsus liidetud kohtuasjades C‑465/00, C‑138/01 ja C‑139/01: Österreichischer Rundfunk jt, EKL 2003, lk I‑4989, punkt 65, ja eespool viidatud kohtuotsus Huber, punkt 48).

27 Direktiivi 95/46 põhjendusest 7 nähtub, et siseturu rajamist ja toimimist võib oluliselt kahjustada see, et isikuandmete töötlemise suhtes kohaldatav kord on liikmesriigiti erinev (vt 6. novembri 2003. aasta otsus kohtuasjas C‑101/01: Lindqvist, EKL 2003, lk I‑12971, punkt 79).

28 Neil asjaoludel tuleb meenutada, et direktiivi 95/46 põhjenduse 8 kohaselt on selle direktiivi eesmärk viia isikuandmete töötlemisega seotud üksikisikute õiguste ja vabaduste kaitse kõigis liikmesriikides samale tasemele. Põhjenduses 10 on lisatud, et selle valdkonna õigusaktide ühtlustamise tagajärjel ei tohi nendega pakutav kaitse väheneda, vaid vastupidi – liidus tagatava kaitstuse tase peab olema kõrgem (vt selle kohta eespool viidatud kohtuotsused Lindqvist, punkt 95, ja Huber, punkt 50).

29 Euroopa Kohus on samuti leidnud, et kõnealuste siseriiklike õigusaktide ühtlustamine ei piirdu minimaalse ühtlustamisega, vaid viib põhimõtteliselt täieliku ühtlustamiseni. Just seda silmas pidades püütakse direktiiviga 95/46 kindlustada isikuandmete vaba liikumine, tagades ühtlasi andmesubjektide õiguste ja huvide kõrgetasemelise kaitse (vt eespool viidatud kohtuotsus Lindqvist, punkt 96).

30 Seega tuleneb eesmärgist tagada kõigis liikmesriikides võrdväärne kaitstuse tase, et direktiivi 95/46 artikkel 7 näeb ette ammendava ja piirava loetelu juhtudest, millal isikuandmete töötlemist võib pidada seaduslikuks.

31 Seda tõlgendust kinnitab direktiivi 95/46 artikli 7 sõnastus „võib töödelda ainult juhul, kui” ning selles esinev sidesõna „või”, millest nähtub selles artiklis esitatud nimekirja ammendav ja piirav olemus.

32 Sellest järeldub, et liikmesriigid ei saa lisada direktiivi 95/46 artiklile 7 uusi isikuandmete töötlemise seaduslikkust puudutavaid kriteeriume ega kehtestada täiendavaid nõudeid, mis muudavad selles artiklis sätestatud kuuest kriteeriumist mõne kriteeriumi ulatust.

33 Direktiivi 95/46 artikkel 5 ei sea eeltoodud tõlgendust kahtluse alla. Nimelt lubab see artikkel liikmesriikidel üksnes selle direktiivi II peatüki sätetega – ja järelikult sama direktiivi artikliga 7 – lubatud ulatuses määrata täpsemalt kindlaks tingimused, mille puhul isikuandmete töötlemine on seaduslik.

34 Kaalutlusruumi, mis liikmesriikidel on nimetatud artikli 5 alusel, võib kasutada üksnes kooskõlas direktiivi 95/46 eesmärgiga, mis seisneb tasakaalu säilitamises isikuandmete vaba liikumise ja eraelu kaitse vahel (vt eespool viidatud kohtuasi Lindqvist, punkt 97).

35 Direktiivi 95/46 norme iseloomustab teatav paindlikkus ning üksikasjade üle otsustamine või mitme võimaluse hulgast valiku tegemine on paljudel juhtudel jäetud liikmesriikide hooleks (vt eespool viidatud kohtuotsus Lindqvist, punkt 83). Seega tuleb vahet teha ühelt poolt siseriiklike meetmete vahel, mis näevad ette täiendavaid nõudeid ja muudavad mõne direktiivi 95/46 artiklis 7 sätestatud kriteeriumi ulatust ning teiselt poolt siseriiklike meetmete vahel, mis üksnes täpsustavad ühte neist kriteeriumidest. Esimest tüüpi siseriiklik meede on keelatud. Liikmesriikidel on direktiivi 95/46 artikli 5 alusel kaalutlusruum üksnes teist tüüpi siseriiklike meetmete osas.

36 Sellest järeldub, et liikmesriigid ei saa direktiivi 95/46 artikli 5 alusel kehtestada ka muid isikuandmete töötlemise seaduslikkust puudutavaid kriteeriume, kui neid, mis on sätestatud selle direktiivi artiklis 7, ega muuta täiendavate nõuetega nimetatud artiklis 7 sätestatud kuue kriteeriumi ulatust.

37 Käesolevas asjas näeb direktiivi 95/46 artikli 7 punkt f ette, et isikuandmete töötlemine on seaduslik ainult siis, kui „töötlemine on vajalik vastutava töötleja või andmeid saava kolmanda isiku või kolmandate isikute õigustatud huvide elluviimiseks, kui selliseid huve ei kaalu üles artikli 1 lõike 1 kohaselt kaitstavate andmesubjekti põhiõiguste ja -vabadustega seotud huvid”.

38 Nimetatud artikli 7 punkt f näeb ette selleks, et isikuandmete töötlemine oleks seaduslik, kaks kumulatiivset tingimust, milleks on ühelt poolt, et isikuandmete töötlemine peab olema vajalik vastutava töötleja või andmeid saava kolmanda isiku või kolmandate isikute õigustatud huvide elluviimiseks, ning teiselt poolt, et andmesubjekti põhiõigused ja ‑vabadused ei kaalu neid huve üles.

39 Sellest järeldub, et isikuandmete töötlemist puudutavas on direktiivi 95/46 artikli 7 punktiga f vastuolus mis tahes siseriiklikud õigusnormid, mis andmesubjekti nõusoleku puudumisel kehtestavad täiendavaid nõudeid lisaks eelmises punktis nimetatud kahele kumulatiivsele tingimusele.

40 Sellegipoolest tuleb arvesse võtta asjaolu, et neist tingimustest teise puhul on vajalik kõnealuste vastanduvate õiguste ja huvide kaalumine, mis sõltub põhimõtteliselt asjaomase üksikjuhtumi konkreetsetest asjaoludest ning mille raames peab kaalumist teostav isik või institutsioon võtma arvesse Euroopa Liidu põhiõiguste harta (edaspidi „harta”) artiklitest 7 ja 8 tulenevate andmesubjekti õiguste olulisust.

41 Sellega seoses olgu märgitud, et harta artikli 8 lõige 1 sätestab, et „[i]gaühel on õigus oma isikuandmete kaitsele”. See põhiõigus on tihedalt seotud harta artiklis 7 sätestatud õigusega eraelu austamisele (9. novembri 2010. aasta otsus kohtuasjas C‑92/09 ja C‑93/09: Volker und Markus Schecke ja Eifert, kohtulahendite kogumikus veel avaldamata, punkt 47).

42 Euroopa Kohtu praktika kohaselt puudutab harta artiklitega 7 ja 8 tunnustatud õigus eraelu austamisele isikuandmete töötlemisel igasugust teavet tuvastatud või tuvastatava füüsilise isiku kohta (vt eespool viidatud kohtuotsus Volker und Markus Schecke ja Eifert, punkt 52). Siiski tuleneb harta artikli 8 lõikest 2 ja artikli 52 lõikest 1, et teatavatel tingimustel võib seda õigust piirata.

43 Lisaks peavad liikmesriigid direktiivi 95/46 ülevõtmisel jälgima, et nad tuginevad nimetatud direktiivi sellisele tõlgendusele, mis võimaldab tagada õiglase tasakaalu erinevate liidu õiguskorras kaitstud põhiõiguste ja ‑vabaduste vahel (vt analoogia alusel 29. jaanuari 2008. aasta otsus kohtuasjas C‑275/06: Promusicae, EKL 2008, lk I‑271, punkt 68).

44 Mis puudutab vajalikku kaalumist direktiivi 95/46 artikli 7 punkti f alusel, siis on võimalik võtta arvesse asjaolu, et nimetatud töötlemisega andmesubjekti põhiõigustele kaasneva riive raskus võib sõltuda sellest, kas asjaomased andmed on juba esitatud avalikkusele kättesaadavates allikates või ei ole seda tehtud.

45 Erinevalt nimelt avalikkusele kättesaadavates allikates esinevatest andmetest kaasneb nende andmete töötlemisega, mis avalikkusele kättesaadavad ei ole, vältimatult see, et sellest alates teab andmesubjekti eraelu puudutavat infot vastutav töötleja ning vajadusel andmeid saav kolmas isik või kolmandad isikud. Seda harta artiklites 7 ja 8 sätestatud andmesubjekti õiguste raskemat riivet tuleb võtta selle õiglases väärtuses arvesse, kui seda kaalutakse vastutava töötleja või andmeid saava kolmanda isiku või kolmandate isikute õigustatud huviga.

46 Sellega seoses tuleb rõhutada, et miski ei keela liikmesriikidel kehtestada neile direktiivi 95/46 artiklis 5 antud kaalutlusruumi teostamisel nimetatud kaalumise jaoks suuniseid.

47 Asjaomase artikli 5 tähenduses täpsustamisega ei ole aga enam tegemist siis, kui siseriiklikud õigusnormid välistavad teatavate isikuandmete kategooriate osas nende töötlemise võimaluse, nähes nende kategooriate suhtes lõplikult ette vastanduvate õiguste ja huvide kaalumise tulemuse, ilma et lubatud oleks konkreetse juhtumi erilistest asjaoludest lähtuv teistsugune tulemus.

48 Seega, ilma et see mõjutaks direktiivi 95/46 artiklit 8, mis puudutab andmete eriliikide töötlemist ning mida põhikohtuasjas ei käsitleta, on selle direktiivi artikli 7 punktiga f vastuolus, kui liikmesriik välistab kategooriliselt ja üldiselt teatud isikuandmete kategooriate töötlemise, ilma et lubatud oleks kaaluda konkreetsel juhtumil vastanduvaid õigusi ja huve.

49 Neid kaalutlusi arvesse võttes tuleb vastata esimesele küsimusele, et direktiivi 95/46 artikli 7 punkti f tuleb tõlgendada nii, et sellega on vastuolus siseriiklikud õigusnormid, mis nõuavad selleks, et ilma andmesubjekti nõusolekut küsimata võiks tema isikuandmeid töödelda, mis on vajalik vastutava töötleja või andmeid saava kolmanda isiku või kolmandate isikute õigustatud huvide elluviimiseks, lisaks sellele, et ei tohi rikkuda andmesubjekti põhiõigusi ja ‑vabadusi, ka seda, et kõnealused andmed oleksid avalikkusele kättesaadavates allikates, välistades seega kategooriliselt ja üldiselt kõikide nende andmete töötlemise, mis ei sisaldu sellistes allikates.

Teine küsimus

50 Eelotsusetaotluse esitanud kohus soovib oma teise küsimusega sisuliselt teada seda, kas direktiivi 95/46 artikli 7 punktil f on vahetu õigusmõju.

51 Selle kohta tuleb meenutada, et Euroopa Kohtu väljakujunenud praktikast tuleneb, et alati kui direktiivi sätted näivad olevat sisu poolest tingimusteta ja piisavalt täpsed, võivad isikud neile siseriiklikus kohtus vaidluses riigi vastu tugineda, muu hulgas juhul, kui riik on jätnud direktiivi tähtaegselt siseriiklikku õigusesse üle võtmata või on selle valesti üle võtnud (vt 3. märtsi 2011. aasta otsus kohtuasjas C‑203/10: Auto Nikolovi, kohtulahendite kogumikus veel avaldamata, punkt 61 ja seal viidatud kohtupraktika).

52 Tuleb tõdeda, et direktiivi 95/46 artikli 7 punkt f on piisavalt täpne säte, et eraõiguslik isik saaks sellele tugineda ja siseriiklikud kohtud saaks seda kohaldada. Kuigi on vaieldamatu, et liikmesriikidel on direktiivi 95/46 kohaselt teatavate direktiivi sätete rakendamisel suurem või väiksem kaalutlusruum, näeb artikli 7 punkt f ette tingimusteta kohustuse (vt analoogia alusel eespool viidatud kohtuotsus Österreichischer Rundfunk jt, punkt 100).

53 Direktiivi 95/46 artikli 7 punktis f sõnastuse „kui” kasutamine ei saa iseenesest kahtluse alla seada selle sätte tingimusteta olemust nimetatud kohtupraktika tähenduses.

54 Nimelt on selle sõnastuse eesmärk sätestada üks kahest direktiivi 95/46 artikli 7 punktis f ette nähtud kumulatiivsest tingimusest, millest sõltub isikuandmete töötlemise võimalus ilma andmesubjekti nõusolekuta. Selle tingimuse määratlus ei võta nimetatud artikli 7 punktilt f tema täpset ja tingimusteta olemust.

55 Seega tuleb teisele küsimusele vastata, et direktiivi 95/46 artikli 7 punktil f on vahetu õigusmõju.

Kohtukulud

56 Kuna põhikohtuasja poolte jaoks on käesolev menetlus eelotsusetaotluse esitanud kohtus poolelioleva asja üks staadium, otsustab kohtukulude jaotuse siseriiklik kohus. Euroopa Kohtule märkuste esitamisega seotud kulusid, välja arvatud poolte kohtukulud, ei hüvitata.

Esitatud põhjendustest lähtudes Euroopa Kohus (kolmas koda) otsustab:

1. Euroopa Parlamendi ja nõukogu 24. oktoobri 1995. aasta direktiivi 95/46/EÜ üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta artikli 7 punkti f tuleb tõlgendada nii, et sellega on vastuolus siseriiklikud õigusnormid, mis nõuavad selleks, et ilma andmesubjekti nõusolekut küsimata võiks tema isikuandmeid töödelda, mis on vajalik vastutava töötleja või andmeid saava kolmanda isiku või kolmandate isikute õigustatud huvide elluviimiseks, lisaks sellele, et ei tohi rikkuda andmesubjekti põhiõigusi ja ‑vabadusi, ka seda, et kõnealused andmed oleksid avalikkusele kättesaadavates allikates, välistades seega kategooriliselt ja üldiselt kõikide nende andmete töötlemise, mis ei sisaldu sellistes allikates.

2. Direktiivi 95/46 artikli 7 punktil f on vahetu õigusmõju.

Allkirjad