CELEX: 62007CJ0073
Language: pl
Date: 2008-12-16
Title: Wyrok Trybunału (wielka izba) z dnia 16 grudnia 2008 r.#Tietosuojavaltuutettu przeciwko Satakunnan Markkinapörssi Oy i Satamedia Oy.#Wniosek o wydanie orzeczenia w trybie prejudycjalnym: Korkein hallinto-oikeus - Finlandia.#Dyrektywa 95/46/WE - Zakres stosowania - Przetwarzanie i przepływ danych osobowych dotyczących podatków - Ochrona osób fizycznych - Wolność wypowiedzi.#Sprawa C-73/07.

Sprawa C‑73/07
      Tietosuojavaltuutettu
      przeciwko
      Satakunnan Markkinapörssi Oy
      i
      Satamedia Oy
      (wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Korkein hallinto-oikeus)
      Dyrektywa 95/46/WE – Zakres stosowania – Przetwarzanie i przepływ danych osobowych dotyczących podatków – Ochrona osób fizycznych – Wolność wypowiedzi
      Streszczenie wyroku
      1.        Zbliżanie ustawodawstw – Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Dyrektywa 95/46
      (dyrektywa Parlamentu Europejskiego i Rady 95/46WE, art. 3 ust. 1)
      2.        Zbliżanie ustawodawstw – Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Dyrektywa 95/46
      (dyrektywa Parlamentu Europejskiego i Rady 95/46, art. 9)
      3.        Zbliżanie ustawodawstw – Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Dyrektywa 95/46
      (dyrektywa Parlamentu Europejskiego i Rady 95/46)
      1.        Artykuł 3 ust. 1 dyrektywy 95/46 w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego
         przepływu tych danych, który dotyczy zakresu stosowania owej dyrektywy, należy interpretować w ten sposób, że działanie, które
         polega na:
      
      – gromadzeniu w oparciu o dokumenty urzędowe danych dotyczących dochodu z tytułu działalności zarobkowej i z kapitału oraz
         danych dotyczących majątku osoby fizycznej i ich przetwarzaniu w celu opublikowania,
      
      – opublikowaniu ich w formie obszernej listy, sporządzonej w kolejności alfabetycznej i uporządkowanej według kategorii dochodów
         i gmin,
      
      – udostępnieniu ich w formie płyty CD‑ROM na potrzeby wykorzystania do celów komercyjnych,
      – przetworzeniu ich na potrzeby serwisu SMS, w ramach którego po wysłaniu krótkiej wiadomości tekstowej zawierającej imię,
         nazwisko i miejsce zamieszkania konkretnej osoby pod konkretny numer użytkownik telefonu komórkowego może uzyskać w ramach
         odpowiedzi dane dotyczące dochodu z tytułu działalności zarobkowej i z kapitału oraz dane dotyczące majątku tej osoby,
      
      należy uznać za „przetwarzanie danych osobowych” w rozumieniu tego przepisu.
      (por. pkt 37; pkt 1 sentencji)
      2.        Artykuł 9 dyrektywy 95/46 w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu
         tych danych, który dotyczy stosunku pomiędzy ochroną takich danych a wolnością wypowiedzi, należy interpretować w ten sposób,
         że działanie, które polega na:
      
      – gromadzeniu w oparciu o dokumenty urzędowe danych dotyczących dochodu z tytułu działalności zarobkowej i z kapitału oraz
         danych dotyczących majątku osoby fizycznej i ich przetwarzaniu w celu opublikowania,
      
      – opublikowaniu ich w formie obszernej listy, sporządzonej w kolejności alfabetycznej i uporządkowanej według kategorii dochodów
         i gmin,
      
      – udostępnieniu ich w formie płyty CD‑ROM na potrzeby wykorzystania do celów komercyjnych,
      – przetworzeniu ich na potrzeby serwisu SMS, w ramach którego po wysłaniu krótkiej wiadomości tekstowej zawierającej imię,
         nazwisko i miejsce zamieszkania konkretnej osoby pod konkretny numer użytkownik telefonu komórkowego może uzyskać w ramach
         odpowiedzi dane dotyczące dochodu z tytułu działalności zarobkowej i z kapitału oraz dane dotyczące majątku tej osoby,
      
      powinny zostać uznane za przetwarzanie danych osobowych „wyłącznie w celach dziennikarskich” w rozumieniu tego przepisu, jeśli
         ich wyłącznym celem jest publiczne rozpowszechnienie – za pomocą jakiegokolwiek środka przekazu – informacji, opinii lub myśli,
         co podlega ocenie sądu krajowego.
      
      W każdym razie działania takie nie są zastrzeżone dla przedsiębiorstw medialnych i mogą być związane z celem zarobkowym.
      (zob. pkt 61, 62; pkt 2 sentencji)
      3.        Do zakresu zastosowania dyrektywy 95/46 w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego
         przepływu tych danych należą działania polegające na przetwarzaniu danych osobowych, takie jak udostępnianie w formie płyty
         CD‑ROM na potrzeby wykorzystania do celów komercyjnych danych zebranych w dokumentach jawnych organów podatkowych, dotyczących
         dochodu z tytułu działalności zarobkowej i z kapitału oraz danych dotyczących majątku osoby fizycznej i już upowszechnionych
         przez media. Do zakresu zastosowania omawianej dyrektywy należy również działanie polegające na przetwarzaniu takich danych
         na potrzeby serwisu SMS, pozwalającego użytkownikom na otrzymanie takich danych po wysłaniu krótkiej wiadomości tekstowej
         zawierającej imię, nazwisko i miejsce zamieszkania konkretnego użytkownika.
      
      (por. pkt 49; pkt 3 sentencji)
WYROK TRYBUNAŁU (wielka izba)
      z dnia 16 grudnia 2008 r.(*)
      
      Dyrektywa 95/46/WE – Zakres stosowania – Przetwarzanie i przepływ danych osobowych dotyczących podatków – Ochrona osób fizycznych – Wolność wypowiedzi
      W sprawie C‑73/07
      mającej za przedmiot wniosek o wydanie, na podstawie art. 234 WE, orzeczenia w trybie prejudycjalnym, złożony przez Korkein
         hallinto‑oikeus (Finlandia) postanowieniem z dnia 8 lutego 2007 r., które wpłynęło do Trybunału w dniu 12 lutego 2007 r.,
         w postępowaniu
      
      Tietosuojavaltuutettu
      przeciwko
      Satakunnan Markkinapörssi Oy,
      Satamedia Oy,
      TRYBUNAŁ (wielka izba),
      w składzie: V. Skouris, prezes, P. Jann, C.W.A. Timmermans, A. Rosas, K. Lenaerts i A. Ó Caoimh, prezesi izb, P. Kūris, E. Juhász,
         G. Arestis, A. Borg Barthet, J. Klučka, U. Lõhmus i E. Levits (sprawozdawca), sędziowie,
      
      rzecznik generalny: J. Kokott,
      sekretarz: C. Strömholm, administrator,
      uwzględniając procedurę pisemną i po przeprowadzeniu rozprawy w dniu 12 lutego 2008 r.,
      rozważywszy uwagi przedstawione:
      –        w imieniu Satakunnan Markkinapörssi Oy oraz Satamedia Oy przez P. Vainio, lakimies,
      –        w imieniu rządu fińskiego przez J. Heliskoskiego, działającego w charakterze pełnomocnika,
      –        w imieniu rządu estońskiego przez L. Uibo, działającego w charakterze pełnomocnika,
      –        w imieniu rządu portugalskiego przez L.I. Fernandesa oraz C. Vieirę Guerrę, działających w charakterze pełnomocników,
      –        w imieniu rządu szwedzkiego przez A. Falk oraz K. Petkovską, działające w charakterze pełnomocników,
      –        w imieniu Komisji Wspólnot Europejskich przez C. Dockseya oraz P. Aalto, działających w charakterze pełnomocników,
      po zapoznaniu się z opinią rzecznika generalnego na posiedzeniu w dniu 8 maja 2008 r.
      wydaje następujący
      Wyrok
      1        Wniosek o wydanie orzeczenia w trybie prejudycjalnym dotyczy wykładni dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia
         24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu
         tych danych (Dz.U. L 281, s. 31, zwanej dalej „dyrektywą”).
      
      2        Wniosek ten został przedłożony w ramach sporu pomiędzy tietosuojavaltuutettu (inspektorem ochrony danych osobowych, zwanym
         dalej inspektorem) a tietosuojalautakunta (komisją ds. ochrony danych) w przedmiocie działań związanych z przetwarzaniem danych
         osobowych dokonywanych przez spółki Satakunnan Markkinapörssi Oy (zwaną dalej Markkinapörssi) i Satamedia Oy (zwaną dalej
         Satamedia).
      
       Ramy prawne
       Uregulowania wspólnotowe
      3        Jak wynika z art. 1 ust. 1 dyrektywy, jej celem jest ochrona podstawowych praw i wolności osób fizycznych, w szczególności
         ich prawa do prywatności w odniesieniu do przetwarzania danych osobowych.
      
      4        Artykuł 1 ust. 2 dyrektywy stanowi:
      
      „Państwa członkowskie nie będą ograniczać ani zakazywać swobodnego przepływu danych osobowych między państwami członkowskimi
         ze względów związanych z ochroną przewidzianą w ust. 1”.
      
      5        Artykuł 2 dyrektywy, zatytułowany „Definicje”, stanowi:
      
      „Do celów niniejszej dyrektywy:
      a)      »dane osobowe« oznaczają wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej (»osoby,
         której dane dotyczą«); osoba możliwa do zidentyfikowania to osoba, której tożsamość można ustalić bezpośrednio lub pośrednio,
         szczególnie przez powołanie się na numer identyfikacyjny lub jeden bądź kilka szczególnych czynników określających jej fizyczną,
         fizjologiczną, umysłową, ekonomiczną, kulturową lub społeczną tożsamość;
      
      b)      »przetwarzanie danych osobowych« (»przetwarzanie«) oznacza każdą operację lub zestaw operacji dokonywanych na danych osobowych
         przy pomocy środków zautomatyzowanych lub innych, jak np. gromadzenie, rejestracja, porządkowanie, przechowywanie, adaptacja
         lub modyfikacja, odzyskiwanie, konsultowanie, wykorzystywanie, ujawnianie poprzez transmisję, rozpowszechnianie lub udostępnianie
         w inny sposób, układanie lub kompilowanie, blokowanie, usuwanie lub niszczenie;
      
      c)      »zbiór danych« (»zbiór«) oznacza każdy uporządkowany zestaw danych osobowych, dostępnych według określonych kryteriów, scentralizowanych,
         zdecentralizowanych lub rozproszonych funkcjonalnie lub geograficznie;
      
      […]”.
      6        Artykuł 3 dyrektywy definiuje zakres jej stosowania w następujący sposób:
      
      „Niniejsza dyrektywa stosuje się do przetwarzania danych osobowych w całości lub w części w sposób zautomatyzowany oraz innego
         przetwarzania danych osobowych, stanowiących część zbioru danych lub mających stanowić część zbioru danych.
      
      Niniejsza dyrektywa nie ma zastosowania do przetwarzania danych osobowych:
      –        w ramach działalności wykraczającej poza zakres prawa Wspólnoty, jak na przykład dane, o których stanowi tytuł V i VI traktatu
         o Unii Europejskiej, a w żadnym razie do działalności na rzecz bezpieczeństwa publicznego, obronności, bezpieczeństwa państwa
         (łącznie z dobrą kondycją gospodarczą państwa, gdy działalność ta dotyczy spraw związanych z bezpieczeństwem państwa) oraz
         działalności państwa w obszarach prawa karnego,
      
      –        przez osobę fizyczną w trakcie czynności o czysto osobistym lub domowym charakterze”.
      7        Stosunek pomiędzy ochroną danych osobowych a wolnością wypowiedzi jest uregulowany w art. 9 dyrektywy zatytułowanym „Przetwarzanie
         danych osobowych i wolność wypowiedzi” w następujący sposób:
      
      „Państwa członkowskie wprowadzają możliwość wyłączenia lub odstąpienia od przepisów niniejszego rozdziału, rozdziału IV i VI
         w przypadku przetwarzania danych osobowych wyłącznie w celach dziennikarskich lub w celu uzyskania wyrazu artystycznego lub
         literackiego jedynie wówczas, gdy jest to konieczne dla pogodzenia prawa do zachowania prywatności z przepisami dotyczącymi
         wolności wypowiedzi”.
      
      8        W tym zakresie motyw trzydziesty siódmy dyrektywy ma następujące brzmienie:
      
      „(37) Przetwarzanie danych osobowych dla potrzeb dziennikarstwa lub wypowiedzi o charakterze literackim lub artystycznym,
         zwłaszcza w dziedzinie techniki audiowizualnej, powinno kwalifikować się do zwolnienia z wymagań niektórych przepisów niniejszej
         dyrektywy, o ile jest to konieczne, aby pogodzić prawa podstawowe osób fizycznych z wolnością informacji, a zwłaszcza prawem
         do uzyskiwania i udzielania informacji, co gwarantuje w szczególności art. 10 europejskiej konwencji o ochronie praw człowieka
         i podstawowych wolności; państwa członkowskie powinny w związku z tym ustalić zwolnienia i odstępstwa konieczne dla zapewnienia
         równowagi pomiędzy prawami podstawowymi odnoszącymi się do ogólnych środków w sprawie legalności przetwarzania danych, środków
         w sprawie przesyłania danych do państw trzecich i kompetencjami organów nadzorczych; nie powinno to jednak powodować wprowadzenia
         przez państwa członkowskie uregulowań stanowiących odstępstwo od obowiązku zapewnienia bezpieczeństwa przetwarzania danych;
         przynajmniej organ nadzorczy odpowiedzialny za tę dziedzinę powinien być również wyposażony w niektóre uprawnienia ex post,
         np. publikowania regularnych sprawozdań lub kierowania spraw do władz sądowych”.
      
      9        Artykuł 13 dyrektywy zatytułowany „Zwolnienia i ograniczenia” stanowi:
      
      „1.      Państwo członkowskie może przyjąć środki ustawodawcze w celu ograniczenia zakresu praw i obowiązków, przewidzianego w art. 6
         ust. 1, art. 10, art. 11 ust. 1, art. 12 oraz 21, kiedy ograniczenie takie stanowi środek konieczny dla zabezpieczenia:
      
      a)      bezpieczeństwa narodowego;
      […]”. 
      10      Artykuł 17 dyrektywy zatytułowany „Bezpieczeństwo przetwarzania danych” stanowi:
      
      „1. Państwa członkowskie zapewniają, aby administrator danych wprowadził odpowiednie środki techniczne i organizacyjne w celu
         ochrony danych osobowych przed przypadkowym lub nielegalnym zniszczeniem lub przypadkową utratą, zmianą, niedozwolonym ujawnieniem
         lub dostępem, szczególnie wówczas gdy przetwarzanie danych obejmuje transmisję danych w sieci, jak również przed wszelkimi
         innymi nielegalnymi formami przetwarzania. 
      
      Uwzględniając stan wiedzy w tej dziedzinie oraz koszt realizacji, przyjęte zostaną takie środki, które zapewnią poziom bezpieczeństwa
         odpowiedni do zagrożeń wynikających z przetwarzania danych oraz charakteru danych objętych ochroną.
      
      2. Państwa członkowskie zobowiązują administratora danych, w przypadku przetwarzania danych w jego imieniu, do wybrania przetwarzającego
         o wystarczających gwarancjach odnośnie do technicznych środków bezpieczeństwa oraz rozwiązań organizacyjnych, regulujących
         przetwarzanie danych, oraz zapewnienia stosowania tych środków i rozwiązań.
      
      […]”.
       Uregulowania krajowe
      11      Artykuł 10 ust. 1 ustawy zasadniczej [perustuslaki (731/1999)] z dnia 11 czerwca 1999 r. stanowi:
      
      „Prywatność, godność i mir domowy każdego człowieka są chronione. Ochrona danych osobowych jest uregulowana w ustawie szczególnej”.
      12      Zgodnie z art. 12 ustawy zasadniczej:
      
      „Każdy człowiek korzysta z wolności wypowiedzi. Wolność wypowiedzi obejmuje prawo do wyrażania swoich opinii, upowszechniania
         i uzyskiwania informacji i opinii, z wyłączeniem cenzury prewencyjnej. Szczegółowe przepisy dotyczące wykonywania wolności
         wypowiedzi zostaną określone przez ustawę. […]
      
      Dokumenty i inne zapisy znajdujące się w posiadaniu organów państwowych są jawne, chyba że ich jawność zostanie ograniczona
         przez ustawę z uwagi na względy szczególne. Każdy ma prawo do dostępu do informacji zawartych w jawnych dokumentach i zapisach
         urzędowych”.
      
      13      Ustawa o danych osobowych [henkilötietolaki (523/1999)] z dnia 22 kwietnia 1999 r., na mocy której dokonano transpozycji dyrektywy
         do prawa krajowego, ma zastosowanie do przetwarzania danych osobowych (art. 2 ust. 1) z wyjątkiem zbiorów danych osobowych
         zawierających wyłącznie materiał informacyjny upowszechniony przez media (art. 2 ust. 4). Ma ona jedynie częściowo zastosowanie
         do przetwarzania danych osobowych do celów redakcyjnych, artystycznych lub literackich (art. 2 ust. 5).
      
      14      Artykuł 32 ustawy o danych osobowych przewiduje, że osoba odpowiedzialna za przetwarzanie danych stosuje niezbędne środki
         techniczne i organizacyjne do ochrony danych osobowych przed osobami nieuprawnionymi, przypadkową utratą lub bezprawnym zniszczeniem,
         zmianą, ujawnieniem, przekazaniem lub innym przetworzeniem niezgodnym z ustawą.
      
      15      Ustawa o jawności działań organów publicznych [laki viranomaisten toiminnan julkisuudesta (621/1999)] z dnia 21 maja 1999 r.
         również reguluje dostęp do informacji.
      
      16      Artykuł 1 ust. 1 ustawy o jawności działań organów publicznych ustanawia generalną zasadę, wedle której dokumenty objęte tą
         ustawą są jawne. 
      
      17      Artykuł 9 tej ustawy stanowi, że każdy ma prawo do zapoznania się z jawnymi dokumentami urzędowymi. 
      
      18      Artykuł 16 ust. 1 wskazanej ustawy określa sposoby dostępu do tego rodzaju dokumentów. Przepis ten przewiduje, że organy publiczne
         mogą przekazać treść dokumentu urzędowego ustnie lub przedstawić go do wglądu na miejscu, gdzie można się z nim zapoznać,
         sporządzić kserokopię, wysłuchać lub też pozyskać w formie drukowanej kopii.
      
      19      Artykuł 16 ust. 3 tej ustawy określa warunki, na jakich mogą zostać ujawnione informacje zawarte w urzędowym zbiorze danych
         osobowych:
      
      „Dane osobowe zawarte w urzędowym zbiorze danych osobowych są, z zastrzeżeniem odmiennego uregulowania w niniejszej ustawie,
         udostępniane w formie kopii, wyciągu ze zbioru lub też w formie zapisu elektronicznego, jeżeli odbiorca jest uprawniony do
         rejestracji i przetwarzania tych danych na podstawie przepisów dotyczących ochrony danych osobowych. Jednakże dla celów bezpośredniego
         marketingu, badań opinii społecznej oraz badań rynkowych dane osobowe mogą być udostępniane jedynie, jeżeli zostało to wyraźnie
         przewidziane w ustawie lub gdy osoba, której te dane dotyczą, wyraziła na to zgodę”.
      
      20      Sąd krajowy wskazał, że ustawa o jawności i poufności danych podatkowych [laki verotustietojen julkisuudesta ja salassapidosta
         (1346/1999)] z dnia 30 grudnia 1999 r. ma pierwszeństwo względem ustawy o danych osobowych i względem ustawy o jawności działań
         organów publicznych.
      
      21      Zgodnie z art. 2 tej ustawy przepisy ustawy o jawności działań organów publicznych i ustawy o danych osobowych mają zastosowanie
         do dokumentów i danych podatkowych, o ile przepisy ustawowe nie stanowią inaczej. 
      
      22      Artykuł 3 wskazanej ustawy stanowi:
      
      „Dane podatkowe są jawne w granicach określonych przez niniejszą ustawę. 
      Każdy ma prawo dostępu do informacji zawartych w urzędowych dokumentach podatkowych znajdujących się w posiadaniu organów
         podatkowych zgodnie z przepisami ustawy o jawności działań organów publicznych, o ile niniejsza ustawa nie stanowi inaczej”.
      
      23      Zgodnie z art. 5 ust. 1 wskazanej ustawy, podane w corocznej deklaracji podatkowej nazwisko podatnika, rok jego urodzenia
         oraz gmina, w której zamieszkuje, stanowią jawne dane podatkowe. Jawne są również następujące informacje:
      
      „1. podlegający opodatkowaniu dochód z tytułu działalności zarobkowej (podatek ogólnokrajowy);
      2. podlegający opodatkowaniu dochód z kapitału i majątek (podatek ogólnokrajowy);
      3. podlegający opodatkowaniu dochód z tytułu działalności zarobkowej (podatek gminny);
      4. łączna kwota podatków dochodowych i podatku od majątku oraz łączna kwota naliczonych podatków i opłat.
      […]”. 
      24      Ponadto w art. 8 należącym do rozdziału 24 kodeksu karnego (rikoslaki w wersji ustawy 531/2000) uregulowane zostały sankcje
         za upowszechnienie informacji mających negatywny wpływ na życie prywatne osoby, której dotyczą. Karze podlega również, kto
         za pomocą mass mediów lub w inny sposób udostępnia większej liczbie osób informację, aluzję lub obraz dotyczące życia prywatnego
         innej osoby, jeżeli działanie to może spowodować u osoby, której ta informacja dotyczy, szkodę, cierpienie lub utratę szacunku.
         
      
       Postępowanie przed sądem krajowym i pytania prejudycjalne
      25      Od wielu lat Markkinapörssi pobiera od fińskich organów podatkowych jawne dane w celu dokonania corocznej publikacji części
         tych danych w regionalnych wydaniach czasopisma Veropörssi. 
      
      26      Informacje zawarte w tych publikacjach obejmują imiona i nazwiska około 1,2 miliona osób fizycznych, których dochody przekraczają
         określone progi, oraz w zaokrągleniu do 100 EUR kwoty ich dochodów z kapitału i działalności zarobkowej oraz dane dotyczące
         opodatkowania majątku. Informacje te są publikowane w formie alfabetycznej listy i podlegają klasyfikacji według gmin oraz
         według kategorii dochodów. 
      
      27      Z postanowienia sądu odsyłającego wynika, że w czasopiśmie Veropörssi wskazuje się, że ujawnione dane osobowe mogą zostać usunięte na wniosek, bez powstania kosztów. 
      
      28      Pomimo że czasopismo zawiera również artykuły, podsumowania i ogłoszenia, jego głównym celem jest publikacja danych osobowych
         o charakterze podatkowym. 
      
      29      Markkinapörssi udostępniła należącej do tych samych akcjonariuszy spółce Satamedia opublikowane w Veropörssi dane osobowe na płytach CD‑ROM, celem ich rozpowszechnienia w systemie SMS. By tego dokonać, te dwie spółki zawarły umowę
         ze spółką będącą operatorem sieci telefonii komórkowej, która na rachunek Satamedia stworzyła serwis SMS umożliwiający użytkownikom
         telefonów komórkowych za opłatą w wysokości 2 EUR otrzymywanie na ich numer telefonu informacji publikowanych w Veropörssi.
         Na wniosek dane osobowe są usuwane z tego serwisu. 
      
      30      Tietosuojavaltuutettu i tietosuojalautakunta, władze fińskie właściwe w zakresie ochrony danych sprawują kontrolę nad przetwarzaniem
         danych osobowych i wykonują władztwo decyzyjne na warunkach określonych w ustawie o danych osobowych. 
      
      31      Wskutek skarg osób fizycznych podnoszących naruszenie ich prywatności tietosuojavaltuutettu, prowadzący dochodzenie w sprawie
         działań Markkinapörssi i Satamedia, zażądał w dniu 10 marca 2004 r. przed tietosuojalautakunta zakazania tym spółkom dalszego
         prowadzenia działalności w zakresie wskazanego przetwarzania danych osobowych.
      
      32      Po oddaleniu tego wniosku przez tietosuojalautakunta, tietosuojavaltuutettu odwołał się do Helsingin hallinto‑oikeus (sądu
         administracyjnego w Helsinkach), który również oddalił jego skargę. Tietosuojavaltuutettu odwołał się od tego wyroku do Korkein
         hallinto‑oikeus. 
      
      33      Sąd krajowy podkreślił, że odwołanie wniesione przez tietosuojavaltuutettu nie dotyczy kwestii przekazania informacji przez
         władze fińskie. Wskazał on również, że nie podlega wątpliwości jawny charakter omawianych danych podatkowych. Ma on natomiast
         wątpliwości co do późniejszego przetwarzania tych danych.
      
      34      W tych okolicznościach sąd krajowy postanowił zawiesić postępowanie i zwrócić się do Trybunału z następującymi pytaniami prejudycjalnymi:
         
      
      „1)      Czy za przetwarzanie danych osobowych w rozumieniu art. 3 ust. 1 dyrektywy […] można uznać takie działanie, które polega na:
         
      
      a)      gromadzeniu w oparciu o dokumenty urzędowe danych dotyczących dochodu z tytułu działalności zarobkowej i z kapitału oraz danych
         dotyczących majątku osoby fizycznej i ich przetwarzaniu w celu opublikowania,
      
      b)      opublikowaniu ich w formie obszernej listy, sporządzonej w kolejności alfabetycznej i uporządkowanej według kategorii dochodów
         i gmin,
      
      c)       udostępnieniu ich w formie płyty CD‑ROM na potrzeby wykorzystania do celów komercyjnych,
      d)      przetworzeniu ich na potrzeby serwisu SMS, w ramach którego po wysłaniu krótkiej wiadomości tekstowej zawierającej imię, nazwisko
         i miejsce zamieszkania konkretnej osoby pod konkretny numer użytkownik telefonu komórkowego może uzyskać w ramach odpowiedzi
         dane dotyczące dochodu z tytułu działalności zarobkowej i z kapitału oraz dane dotyczące majątku tej osoby?
      
      2)      Czy dyrektywę […] należy interpretować w ten sposób, że rozmaite działania opisane powyżej w pytaniu pierwszym pkt a)–d) mogą
         zostać uznane za przetwarzanie danych osobowych wyłącznie w celach dziennikarskich w rozumieniu art. 9 dyrektywy, jeżeli uwzględnione
         zostanie, że dane dotyczące ponad miliona osób zostały zgromadzone w oparciu o dokumenty, które w świetle przepisów prawa
         krajowego o dostępie do informacji są jawne? Czy dla tej oceny ma znaczenie okoliczność, że głównym celem tego działania było
         opublikowanie przedmiotowych danych?
      
      3)      Czy w świetle zasad i celów dyrektywy […] art. 17 tej dyrektywy należy interpretować w ten sposób, że stoi on na przeszkodzie
         opublikowaniu danych, które zostały zgromadzone w celach dziennikarskich, i udostępnieniu ich na potrzeby wykorzystania do
         celów komercyjnych?
      
      4)      Czy dyrektywę […] należy interpretować w ten sposób, że te zbiory danych osobowych, które zawierają jedynie materiał informacyjny
         już upowszechniony przez media, w ogóle nie należą do zakresu zastosowania tej dyrektywy?”.
      
       W przedmiocie pytań prejudycjalnych
       W przedmiocie pytania pierwszego
      35      Należy stwierdzić, że wskazane w tym pytaniu dane, odnoszące się do nazwisk i imion pewnych osób fizycznych, których dochody
         przekraczają określone progi, oraz odnoszące się między innymi do kwot dochodów z kapitałów i z działalności zarobkowej tych
         osób w zaokrągleniu do 100 EUR, stanowią dane osobowe w rozumieniu art. 2 lit. a) dyrektywy, ponieważ chodzi o „informacje
         dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej” (zob. również wyrok z dnia 20 maja 2003 r. w sprawach
         połączonych C‑465/00, C‑138/01 i C‑139/01 Österreichischer Rundfunk i in., Rec. s. I‑4989, pkt 64).
      
      36      Wystarczy następnie stwierdzić, że z brzmienia art. 2 lit. b) dyrektywy wynika w sposób jasny, że działalność wskazana w tym
         pytaniu jest objęta definicją „przetwarzania danych osobowych” w rozumieniu tego przepisu.
      
      37      W konsekwencji na pytanie pierwsze należy odpowiedzieć, iż art. 3 ust. 1 dyrektywy należy interpretować w ten sposób, że działanie,
         która polega na: 
      
      –        gromadzeniu w oparciu o dokumenty urzędowe danych dotyczących dochodu z tytułu działalności zarobkowej i z kapitału oraz danych
         dotyczących majątku osoby fizycznej i ich przetwarzaniu w celu opublikowania,
      
      –        opublikowaniu ich w formie obszernej listy, sporządzonej w kolejności alfabetycznej i uporządkowanej według kategorii dochodów
         i gmin,
      
      –        udostępnieniu ich w formie płyty CD‑ROM na potrzeby wykorzystania do celów komercyjnych,
      –        przetworzeniu ich na potrzeby serwisu SMS, w ramach którego po wysłaniu krótkiej wiadomości tekstowej zawierającej imię, nazwisko
         i miejsce zamieszkania konkretnej osoby pod konkretny numer użytkownik telefonu komórkowego może uzyskać w ramach odpowiedzi
         dane dotyczące dochodu z tytułu działalności zarobkowej i z kapitału oraz dane dotyczące majątku tej osoby,
      
      należy uznać za „przetwarzanie danych osobowych” w rozumieniu tego przepisu.
       W przedmiocie pytania czwartego
      38      W pytaniu czwartym, które należy przeanalizować na drugim miejscu, sąd krajowy zmierza zasadniczo do ustalenia, czy działania
         polegające na przetwarzaniu danych osobowych, takie jak działania wskazane w pierwszym pytaniu pkt c) i d), dotyczące zbiorów
         danych osobowych, które zawierają jedynie materiał informacyjny już upowszechniony przez media, należą do zakresu zastosowania
         tej dyrektywy.
      
      39      W tym kontekście należy wskazać, że zgodnie z art. 3 ust. 2 dyrektywy, nie ma ona zastosowania do przetwarzania danych osobowych
         w dwóch przypadkach. 
      
      40      Pierwszy z tych przypadków dotyczy przetwarzania danych osobowych w ramach działalności wykraczającej poza zakres prawa Wspólnoty,
         jak na przykład dane, o których stanowi tytuł V i VI traktatu o Unii Europejskiej, a w każdym razie w ramach działalności
         na rzecz bezpieczeństwa publicznego, obronności, bezpieczeństwa państwa (łącznie z dobrą kondycją gospodarczą państwa, gdy
         działalność ta dotyczy spraw związanych z bezpieczeństwem państwa) oraz w ramach działalności państwa w obszarach prawa karnego.
      
      41      Te rodzaje działalności wymienione tytułem przykładu w art. 3 ust. 2 tiret pierwsze dyrektywy stanowią w każdym razie działalność
         właściwą państwom i władzom państwowym, odmienną od dziedzin działalności podmiotów indywidualnych. Służą one zdefiniowaniu
         zakresu odstępstwa przewidzianego we wskazanym przepisie w ten sposób, że odstępstwo to ma zastosowanie jedynie do działalności
         wyraźnie w nim wymienionych lub mogących być zaklasyfikowane do tej samej kategorii (eiusdem generis) (zob. wyrok z dnia 6 listopada
         2003 r. w sprawie C‑101/01 Lindqvist, Rec. s. I‑12971, pkt 43 i 44).
      
      42      Przetwarzanie danych osobowych wskazane w pierwszym pytaniu pkt c) i d) pozostaje w zakresie działalności prywatnych spółek.
         Działania te w żaden sposób nie wchodzą w zakres władzy publicznej ani bezpieczeństwa publicznego. W związku z tym tego rodzaju
         działania nie mogą być zrównywane z rodzajami działalności wskazanymi w art. 3 ust. 2 dyrektywy (zob. podobnie wyrok z dnia
         30 maja 2006 r. w sprawach połączonych C‑317/04 i C‑318/04 Parlament przeciwko Radzie, Rec. s. I‑4721, pkt 58).
      
      43      Co się tyczy drugiego przypadku, przewidzianego w art. 3 ust. 2 tiret drugie dyrektywy, dotyczący tego odstępstwa motyw dwunasty
         dyrektywy wskazuje korespondencję i przechowywanie spisów adresów jako przykłady przetwarzania danych przez osobę fizyczną
         w trakcie czynności o czysto osobistym lub domowym charakterze.
      
      44      Z powyższego wynika, że to drugie odstępstwo powinno być interpretowane jako obejmujące jedynie działania wchodzące w zakres
         życia prywatnego lub rodzinnego podmiotów indywidualnych (zob. ww. wyrok w sprawie Lindqvist, pkt 47). W sposób oczywisty
         nie ma to miejsca w przypadku działalności Markkinapörssi i Satamedia, polegającej na przekazaniu zebranych danych nieograniczonej
         liczbie osób.
      
      45      Należy w związku z tym stwierdzić, że działania polegające na przetwarzaniu danych osobowych, takie jak działania wskazane
         w pierwszym pytaniu pkt c) i d), nie stanowią przypadków wskazanych w art. 3 ust. 2 dyrektywy.
      
      46      Ponadto należy wskazać, że dyrektywa nie przewiduje jakiegokolwiek dodatkowego ograniczenia jej zakresu stosowania.
      
      47      W tym względzie rzecznik generalny wskazała w pkt 125 opinii, że art. 13 dyrektywy zezwala na odstępstwa jedynie od niektórych
         przepisów dyrektywy, do których nie należy art. 3. 
      
      48      Wreszcie należy wskazać, że ogólne odstępstwo od stosowania dyrektywy w przypadku informacji opublikowanych w dużej mierze
         pozbawiałoby tę dyrektywę sensu. Wystarczyłoby bowiem, by państwa członkowskie opublikowały dane, by wyjąć je spod ochrony
         przewidzianej w tej dyrektywie.
      
      49      W związku z powyższym na czwarte pytanie należy odpowiedzieć, iż działania polegające na przetwarzaniu danych osobowych, takie
         jak działania wskazane w pierwszym pytaniu pkt c) i  d), dotyczące zbiorów władz publicznych obejmujących dane osobowe, które
         zawierają jedynie materiał informacyjny już upowszechniony przez media, należą do zakresu zastosowania dyrektywy. 
      
       W przedmiocie pytania drugiego
      50      W pytaniu drugim sąd krajowy zmierza zasadniczo do ustalenia, czy art. 9 dyrektywy powinien być interpretowany w ten sposób,
         że działania wskazane w pytaniu pierwszym pkt a)–d), dotyczące danych pochodzących z dokumentów jawnych w świetle przepisów
         prawa krajowego, powinny zostać uznane za przetwarzanie danych osobowych wyłącznie w celach dziennikarskich. Sąd krajowy precyzuje,
         że wnosi o wyjaśnienie kwestii, czy okoliczność, że głównym celem tych działań jest publikacja omawianych danych, ma znaczenie
         dla tej oceny.
      
      51      Na wstępie należy stwierdzić, że zgodnie z utrwalonym orzecznictwem wykładnia przepisów dyrektywy powinna być dokonywana z uwzględnieniem
         jej celu oraz systemu, który ustanawia (zob. podobnie wyrok z dnia 11 września 2008 r. w sprawie C‑265/07 Caffaro, dotychczas
         nieopublikowany w Zbiorze, pkt 14).
      
      52      W tym kontekście, jak wynika z art. 1 dyrektywy, bezsporne jest, że dyrektywa ta ma na celu, by państwa członkowskie, umożliwiając
         swobodny przepływ danych osobowych, zapewniły jednocześnie ochronę podstawowych praw i wolności osób fizycznych, w szczególności
         ich prawa do prywatności w odniesieniu do przetwarzania tych danych.
      
      53      Cel ten nie może jednak zostać osiągnięty bez uwzględnienia okoliczności, że wskazane prawa podstawowe należy w pewnym stopniu
         pogodzić z podstawowym prawem do wolności wypowiedzi.
      
      54      Tego rodzaju pogodzenie zostało wskazane w art. 9 dyrektywy. Jak wynika w szczególności z motywu trzydziestego siódmego dyrektywy,
         wskazany art. 9 ma na celu pogodzenie dwóch praw podstawowych: z jednej strony ochrony prywatności i z drugiej strony wolności
         wypowiedzi. Do wykonania tego zadania zobowiązane są państwa członkowskie.
      
      55      W celu pogodzenia tych dwóch „praw podstawowych” w rozumieniu dyrektywy państwa członkowskie zostały zobowiązane do ustanowienia
         pewnych odstępstw lub ograniczeń ochrony danych, odnoszących się w związku z tym do podstawowego prawa do prywatności, które
         zostały przewidziane w rozdziałach II, IV i VI tej dyrektywy. Odstępstwa te powinny zostać ustanowione jedynie w celach dziennikarskich
         lub w celu uzyskania wyrazu artystycznego lub literackiego, co jest objęte podstawowym prawem do wolności wypowiedzi, o ile
         jest to konieczne do pogodzenia prawa do prywatności z przepisami dotyczącymi wolności wypowiedzi. 
      
      56      Z jednej strony by uwzględnić doniosłość wolności wypowiedzi w społeczeństwie demokratycznym, należy szeroko interpretować
         związane z nią pojęcia, w tym pojęcie dziennikarstwa. Z drugiej strony w celu osiągnięcia równowagi pomiędzy wskazanymi dwoma
         prawami podstawowymi ochrona prawa podstawowego do prywatności wymaga, aby przewidziane w wymienionych powyżej rozdziałach
         dyrektywy odstępstwa i ograniczenia ochrony danych ograniczały się do tego, co absolutnie konieczne. 
      
      57      W tym kontekście należy uwzględnić następujące kwestie.
      
      58      Po pierwsze, jak wskazał rzecznik generalny w pkt 65 opinii i jak wynika z prac przygotowawczych do dyrektywy, wyjątki i odstępstwa
         przewidziane w art. 9 dyrektywy mają zastosowanie nie tylko do przedsiębiorstw medialnych, lecz również do każdej osoby prowadzącej
         działalność dziennikarską.
      
      59      Po drugie, okoliczność, że opublikowanie danych o charakterze jawnym jest związane z celem zarobkowym, nie wyklucza a priori,
         aby mogło ono być uznane za działanie „wyłącznie w celach dziennikarskich”. Jak bowiem wskazały Markkinapörssi i Satamedia
         w swych uwagach oraz rzecznik generalny w pkt 82 opinii, każde przedsiębiorstwo zmierza do osiągnięcia zysku ze swej działalności.
         Pewien sukces komercyjny może nawet stanowić warunek sine qua non przetrwania profesjonalnego dziennikarstwa.
      
      60      Po trzecie, należy wziąć pod uwagę rozwój oraz pomnożenie środków komunikacji i rozpowszechniania informacji. Jak wskazał
         między innymi rząd szwedzki, nośnik informacji, za pomocą którego przetwarzane dane są przekazywane – klasyczny, jak papier
         lub fale radiowe, lub elektroniczny, jak Internet – nie stanowi decydującego kryterium dokonania oceny, czy chodzi o działanie
         „wyłącznie w celach dziennikarskich”.
      
      61      Z powyższego wynika, że działania takie jak te, które są rozpatrywane w sprawie przed sądem krajowym, dotyczące danych pochodzących
         z dokumentów jawnych w świetle przepisów krajowych, mogą zostać zaklasyfikowane w ramach „działalności dziennikarskiej”, jeśli
         ich celem jest publiczne rozpowszechnienie informacji, opinii lub myśli za pomocą jakiegokolwiek środka przekazu. Działalność
         dziennikarska nie jest zastrzeżona dla przedsiębiorstw medialnych i może być związana z celem zarobkowym.
      
      62      W związku z powyższym na pytanie drugie należy odpowiedzieć, iż art. 9 dyrektywy należy interpretować w ten sposób, że działania
         wskazane w pytaniu pierwszym pkt a)–d), dotyczące danych pochodzących z dokumentów jawnych w świetle przepisów prawa krajowego,
         powinny zostać uznane za przetwarzanie danych osobowych „wyłącznie w celach dziennikarskich” w rozumieniu tego przepisu, jeśli
         ich wyłącznym celem jest publiczne rozpowszechnienie informacji, opinii lub myśli, co podlega ocenie sądu krajowego.
      
      W przedmiocie pytania trzeciego
      63      W trzecim pytaniu sąd krajowy zmierza zasadniczo do ustalenia, czy art. 17 dyrektywy należy interpretować w ten sposób, że
         przepis ten stoi na przeszkodzie opublikowaniu danych, które zostały zgromadzone w celach dziennikarskich, i udostępnieniu
         ich do celów komercyjnych.
      
      64      Mając na uwadze odpowiedź na pytanie drugie, brak jest konieczności udzielania odpowiedzi na to pytanie. 
      
      W przedmiocie kosztów
      65      Dla stron postępowania przed sądem krajowym niniejsze postępowanie ma charakter incydentalny, dotyczy bowiem kwestii podniesionej
         przed tym sądem, do niego zatem należy rozstrzygnięcie o kosztach. Koszty poniesione w związku z przedstawieniem uwag Trybunałowi,
         inne niż poniesione przez strony postępowania przed sądem krajowym, nie podlegają zwrotowi.
      
      Z powyższych względów Trybunał (wielka izba) orzeka, co następuje:
      1)      Artykuł 3 ust. 1 dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób
            fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych należy interpretować w ten sposób,
            że działanie, które polega na:
      –        gromadzeniu w oparciu o dokumenty urzędowe danych dotyczących dochodu z tytułu działalności zarobkowej i z kapitału oraz danych
            dotyczących majątku osoby fizycznej i ich przetwarzaniu w celu opublikowania,
      –        opublikowaniu ich w formie obszernej listy, sporządzonej w kolejności alfabetycznej i uporządkowanej według kategorii dochodów
            i gmin,
      –        udostępnieniu ich w formie płyty CD‑ROM na potrzeby wykorzystania do celów komercyjnych,
      –        przetworzeniu ich na potrzeby serwisu SMS, w ramach którego po wysłaniu krótkiej wiadomości tekstowej zawierającej imię, nazwisko
            i miejsce zamieszkania konkretnej osoby pod konkretny numer użytkownik telefonu komórkowego może uzyskać w ramach odpowiedzi
            dane dotyczące dochodu z tytułu działalności zarobkowej i z kapitału oraz dane dotyczące majątku tej osoby, 
      należy uznać za „przetwarzanie danych osobowych” w rozumieniu tego przepisu.
      2)      Artykuł 9 dyrektywy 95/46 należy interpretować w ten sposób, że działania wskazane w pytaniu pierwszym pkt a)–d), dotyczące
            danych pochodzących z dokumentów jawnych w świetle przepisów prawa krajowego, powinny zostać uznane za przetwarzanie danych
            osobowych „wyłącznie w celach dziennikarskich” w rozumieniu tego przepisu, jeśli ich wyłącznym celem jest publiczne rozpowszechnienie
            informacji, opinii lub myśli, co podlega ocenie sądu krajowego. 
      3)      Działania polegające na przetwarzaniu danych osobowych, takie jak działania wskazane w pierwszym pytaniu pkt c) i d), dotyczące
            zbiorów władz publicznych obejmujących dane osobowe, które zawierają jedynie materiał informacyjny już upowszechniony przez
            media, należą do zakresu zastosowania dyrektywy 95/46. 
      Podpisy
      * Język postępowania: fiński.