CELEX: 62021CC0129
Language: fi
Date: 2022-04-28
Title: Julkisasiamies A. M. Collins ratkaisuehdotus 28.4.2022.###

Väliaikainen versio
JULKISASIAMIEHEN RATKAISUEHDOTUS
ANTHONY MICHAEL COLLINS
28 päivänä huhtikuuta 2022 (1)

Asia C-129/21

Proximus NV

(Julkiset sähköiset luettelot)

vastaan

Gegevensbeschermingsautoriteit

(Ennakkoratkaisupyyntö – Hof van beroep te Brussel (ylioikeus, Bryssel, Belgia))
Ennakkoratkaisupyyntö – Henkilötietojen käsittely ja yksityisyyden suoja sähköisen viestinnän alalla – Direktiivi 2002/58/EY – 12 artikla – Tilaajaluettelot ja numerotiedotuspalvelut – Rekisteröidyn suostumus – Asetus (EU) 2016/679 – Suostumuksen määritelmä – 17 artikla – Oikeus tietojen poistamiseen (”oikeus tulla unohdetuksi”) – 5 artiklan 2 kohta, 17 artiklan 2 kohta sekä 19 ja 24 artikla – Rekisterinpitäjän ilmoitusvelvollisuudet ja vastuu

I       Johdanto

1.        Käsiteltävä Hof van beroep te Brusselin (ylioikeus, Bryssel, Belgia) esittämä ennakkoratkaisupyyntö pohjautuu televiestintäpalveluja tilaavan henkilöön pyyntöön siitä, ettei hänen yhteystietojaan enää julkaista julkisissa sähköisissä puhelinluetteloissa eivätkä ne ole saatavilla numerotiedotuspalveluissa. Sen yhteydessä tulee esille tärkeitä kysymyksiä, jotka koskevat luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus)(2) ja henkilötietojen käsittelystä ja yksityisyyden suojasta sähköisen viestinnän alalla 12.7.2002 annetun Euroopan parlamentin ja neuvoston direktiivin 2002/58/EY (sähköisen viestinnän tietosuojadirektiivi)(3) tulkintaa ja näiden kahden säädöksen välistä suhdetta.

2.        Yleisessä tietosuoja-asetuksessa asetetaan jokaiselle rekisterinpitäjälle yleinen velvoite hankkia rekisteröidyn suostumus hänen tietojensa käsittelyyn. Direktiivillä 2002/58 mukautetaan tätä vaatimusta sähköisten puhelinluetteloiden ja numerotiedotuspalvelujen tarjoajien suorittaman tietojenkäsittelyn osalta siten, että tilaajan yhden kerran antama suostumus tietojensa käyttöön riittää siihen, että tietoja voidaan käsitellä tähän samaan tarkoitukseen. Tilaaja antaa siten ainoastaan kerran suostumuksen siihen, että hänen yhteystietonsa esitetään luetteloissa, minkä jälkeen muut luettelojen tarjoajat voivat vedota tähän samaan suostumukseen mainitakseen nämä yhteystiedot omissa luetteloissaan. Mitä tapahtuu, kun tilaaja haluaa yhteystietonsa poistettaviksi kaikista tällaisista luetteloista? Tässä yhteydessä herää ainakin kaksi kysymystä. Ensinnäkin, olisiko tilaajan esitettävä pyyntö teleoperaattorille, jonka kanssa hänellä on sopimus, vai luetteloiden tarjoajalle (tai tarjoajille) vai kullekin niistä? Toiseksi, onko luettelojen tarjoaja velvollinen välittämään yhteystietojen poistamista koskevan pyynnön edelleen kolmansille osapuolille, kuten tilaajan teleoperaattorille, muille luettelojen tarjoajille ja hakukoneiden tarjoajille?
II     Tosiseikat

3.        Proximus tarjoaa televiestintäpalveluja. Se sisällyttää omien tilaajiensa yhteystiedot sekä muilta teleoperaattoreilta saamansa yhteystiedot kahteen belgialaiseen sähköiseen luetteloon – www.1207.be ja www.1307.be – sekä kahteen numerotiedotuspalveluun – 1207 ja 1307 –, joita se myös tarjoaa. Se välittää nämä yhteystiedot toiselle luettelojen tarjoajalle.

4.        Proximus selittää, että sen tietokannoissa ja myös kolmansien osapuolten tietokannoissa erotetaan tilaajat, joiden yhteystiedot mainitaan luetteloissa, ja ne, joiden yhteystietoja ei mainita niissä. Jos yhteystiedot on tarkoitus mainita, tilaajan kohdalla on merkintä ”NNNNN”. Jos taas yhteystietoja ei merkitä luetteloihin, tilaajan kohdalla on merkintä ”XXXXX”.

5.        Valituksen tekijä on Telenetin, joka on Belgian markkinoilla toimiva teleoperaattori, tarjoaman puhelinpalvelun tilaaja. Telenet ei tarjoa luetteloita. Se toimittaa tilaajiensa yhteystietoja muun muassa Proximukselle.

6.         Käyttäen www.1207.be-sivustolla olevaa yhteydenottolomaketta valituksen tekijä esitti 13.1.2019 Proximukselle seuraavan pyynnön: ”Ettehän mainitse tätä numeroa ”Witte Gids”  ‑luettelossa osoitteessa 12.07.be – –”.

7.        Pyynnön perusteella Proximus muutti 28.1.2019 valituksen tekijää koskevan merkinnän ”NNNNN”:stä ”XXXXX”:ksi. Samana päivänä Proximuksen työntekijä vastasi valituksen tekijälle seuraavasti: ”Numero [x] ei sisälly ’Gids’-luettelon nykyiseen versioon. Tiedot eivät myöskään ole saatavilla numerotiedotuspalvelussa (1207) eikä verkkosivustolla (1207.be). Löydätte viimeisimmän päivityksen kaikista julkaistuista rekistereistä verkkosivustoltamme www.1207.be.”

8.        Proximus vastaanotti 31.1.2019 Telenetiltä säännöllisen tilaajatietojen päivityksen. Tämä päivitys sisälsi valituksen tekijät uudet yhteystiedot. Siinä oli myös merkintä, jonka mukaan valituksen tekijän yhteystiedot oli mainittava luetteloissa (”NNNNN”). Proximus käsitteli tämän päivityksen automaattisesti. Tämän seurauksena valituksen tekijän yhteystiedot tulivat yleisesti saataville.

9.        Havaittuaan, että hänen puhelinnumeronsa esiintyi sähköisissä puhelinluetteloissa www.1207.be ja www.1307.be sekä useissa muissa sähköisissä puhelinluetteloissa, valituksen tekijä otti 14.8.2019 yhteyttä Proximukseen www.1207.be-verkkosivustolla olevan yhteydenottolomakkeen kautta ja pyysi, ettei Proximus ”mainitse” hänen puhelinnumeroaan ”verkkosivusto(i)llaan http://www.1207.be”.

10.      Proximuksen työntekijä vastasi hänelle samana päivänä seuraavasti: ”Olemme pyynnöstänne poistaneet merkintänne siten, että yhteystietojanne (puhelinnumero, nimi ja osoite) ei enää käytetä puhelinluetteloissa tai numerotiedotuspalveluissa. Muutaman päivän kuluttua yhteystietonne eivät ole enää saatavilla verkkosivustoilla www.1207.be – www.1307.be eivätkä numerotiedotuspalveluissa (1207-1307). Olemme myös yhteydessä Googleen, jotta se poistaa asianomaiset linkit verkkosivustoomme. Säännöksiä noudattaen yhteystietonne välitettiin myös muille puhelinluetteloille tai numerotiedotuspalveluille, jotka pyysivät [Proximusta] toimittamaan niille tilaajatietoja, nimittäin www.wittegids.be, www.infobel.com, www.de1212.be ja www.opendi.be. Kuukausittaisten päivitysten kautta ne saavat myös tiedon pyynnöstänne olla käyttämättä yhteystietojanne jatkossa.”

11.      Valituksen tekijä toimitti samanaikaisesti valituksen Gegevensbeschermingsautoriteitille (tietosuojaviranomainen, Belgia). Valitukseen sisältyi seuraava sanamuoto: ”huolimatta kirjallisesta ja nimenomaisesta pyynnöstäni – – olla mainitsematta (juuri saamaani) puhelinnumeroa – – ja yhteystietojani Witte Gids  ‑luettelossa osoitteessa 12.07.be,– – saatuani tänään puhelinsoiton yritykseltä, jolla ei ole puhelinnumeroani, [havaitsin], että puhelinnumeroni on kuitenkin sisällytetty sivustoille www.1207.be, www.1307.be, www.wittegids.be, www.infobel.be, ww.de1212.be ja mitä todennäköisimmin myös asianomaisiin numerotiedustelupalveluihin 1207, 1307 ja Witte Gids(en)  ‑luettelon paperiversioihin sekä sivustolle www.opendi.be”.

12.      Valituksen vastaanottanut tietosuojaviranomaisen yksikkö totesi 27.8.2019, että valitus voidaan ottaa käsiteltäväksi, ja siirsi sen Geschillenkamer van Gegevensbeschermingsautoriteitin (tietosuojaviranomaisen riidanratkaisuelin, Belgia) käsiteltäväksi.
III  Asiaa koskevat oikeussäännöt

A       Euroopan unionin oikeus

1.     Euroopan unionin perusoikeuskirja

13.      Euroopan unionin perusoikeuskirjan (jäljempänä perusoikeuskirja) 8 artiklan, jonka otsikko on ”Henkilötietojen suoja”, 1 ja 2 kohdassa määrätään seuraavaa:
”1. Jokaisella on oikeus henkilötietojensa suojaan.
2. Tällaisten tietojen käsittelyn on oltava asianmukaista ja sen on tapahduttava tiettyä tarkoitusta varten ja asianomaisen henkilön suostumuksella tai muun laissa säädetyn oikeuttavan perusteen nojalla. Jokaisella on oikeus tutustua niihin tietoihin, joita hänestä on kerätty, ja saada ne oikaistuksi.”
2.     Yleinen tietosuoja-asetus

14.      Suostumuksen käsite on keskeinen yleisen tietosuoja-asetuksen toiminnan kannalta. Sen 4 artiklan 11 alakohdan mukaan suostumuksella tarkoitetaan mitä tahansa vapaaehtoista, yksilöityä, tietoista ja yksiselitteistä tahdonilmaisua, jolla rekisteröity hyväksyy henkilötietojensa käsittelyn antamalla suostumusta ilmaisevan lausuman tai toteuttamalla selkeästi suostumusta ilmaisevan toimen.

15.      Yleisen tietosuoja-asetuksen 5 artiklan, jonka otsikko on ”Henkilötietojen käsittelyä koskevat periaatteet”, 1 kohdassa säädetään merkityksellisin osin seuraavaa:
Henkilötietojen suhteen on noudatettava seuraavia vaatimuksia:
a) niitä on käsiteltävä lainmukaisesti, asianmukaisesti ja rekisteröidyn kannalta läpinäkyvästi (’lainmukaisuus, kohtuullisuus ja läpinäkyvyys’);”

16.      Yleisen tietosuoja-asetuksen 5 artiklan 2 kohdassa säädetään seuraavaa:
”Rekisterinpitäjä vastaa siitä, ja sen on pystyttävä osoittamaan se, että 1 kohtaa on noudatettu (’osoitusvelvollisuus’).”

17.      Yleisen tietosuoja-asetuksen 6 artiklan, jonka otsikko on ”Käsittelyn lainmukaisuus”, sanamuoto on seuraava:
”1. Käsittely on lainmukaista ainoastaan jos ja vain siltä osin kuin vähintään yksi seuraavista edellytyksistä täyttyy:
a)      rekisteröity on antanut suostumuksensa henkilötietojensa käsittelyyn yhtä tai useampaa erityistä tarkoitusta varten;
– –”

18.      Yleisen tietosuoja-asetuksen 7 artiklassa, jonka otsikko on ”Suostumuksen edellytykset”, säädetään merkityksellisin osin seuraavaa:
”1. Jos tietojenkäsittely perustuu suostumukseen, rekisterinpitäjän on pystyttävä osoittamaan, että rekisteröity on antanut suostumuksen henkilötietojensa käsittelyyn.
– –
3. Rekisteröidyllä on oikeus peruuttaa suostumuksensa milloin tahansa. Suostumuksen peruuttaminen ei vaikuta suostumuksen perusteella ennen sen peruuttamista suoritetun käsittelyn lainmukaisuuteen. Ennen suostumuksen antamista rekisteröidylle on ilmoitettava tästä. Suostumuksen peruuttamisen on oltava yhtä helppoa kuin sen antaminen.
– –”

19.      Yleisen tietosuoja-asetuksen 17 artiklassa, jonka otsikko on ”Oikeus tietojen poistamiseen (’oikeus tulla unohdetuksi’)”, säädetään merkityksellisin osin seuraavaa:
”1. Rekisteröidyllä on oikeus saada rekisterinpitäjä poistamaan rekisteröityä koskevat henkilötiedot ilman aiheetonta viivytystä, ja rekisterinpitäjällä on velvollisuus poistaa henkilötiedot ilman aiheetonta viivytystä, edellyttäen että jokin seuraavista perusteista täyttyy:
– –
b) rekisteröity peruuttaa suostumuksen, johon käsittely on perustunut 6 artiklan 1 kohdan a alakohdan tai 9 artiklan 2 kohdan a alakohdan mukaisesti, eikä käsittelyyn ole muuta laillista perustetta;
– –
2. Jos rekisterinpitäjä on julkistanut henkilötiedot ja sillä on 1 kohdan mukaisesti velvollisuus poistaa tiedot, sen on käytettävissä oleva teknologia ja toteuttamiskustannukset huomioon ottaen toteutettava kohtuulliset toimenpiteet, muun muassa tekniset toimet, ilmoittaakseen henkilötietoja käsitteleville rekisterinpitäjille, että rekisteröity on pyytänyt kyseisiä rekisterinpitäjiä poistamaan näihin henkilötietoihin liittyvät linkit tai näiden henkilötietojen jäljennökset tai kopiot.
– –”

20.      Yleisen tietosuoja-asetuksen 19 artiklassa, jonka otsikko on ”Henkilötietojen oikaisua tai poistoa tai käsittelyn rajoitusta koskeva ilmoitusvelvollisuus”, säädetään seuraavaa:
”Rekisterinpitäjän on ilmoitettava kaikenlaisista 16 artiklan, 17 artiklan 1 kohdan ja 18 artiklan mukaisesti tehdyistä henkilötietojen oikaisuista, poistoista tai käsittelyn rajoituksista jokaiselle vastaanottajalle, jolle henkilötietoja on luovutettu, paitsi jos tämä osoittautuu mahdottomaksi tai vaatii kohtuutonta vaivaa. Rekisterinpitäjän on ilmoitettava rekisteröidylle näistä vastaanottajista, jos rekisteröity sitä pyytää.”

21.      Yleisen tietosuoja-asetuksen 24 artiklan, jonka otsikko on ”Rekisterinpitäjän vastuu”, 1 kohdan sanamuoto on seuraava:
”Ottaen huomioon käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset sekä luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuvat, todennäköisyydeltään ja vakavuudeltaan vaihtelevat riskit rekisterinpitäjän on toteutettava tarvittavat tekniset ja organisatoriset toimenpiteet, joilla voidaan varmistaa ja osoittaa, että käsittelyssä noudatetaan tätä asetusta. Näitä toimenpiteitä on tarkistettava ja päivitettävä tarvittaessa.”

22.      Yleisen tietosuoja-asetuksen 95 artiklassa, jonka otsikko on ”Suhde direktiiviin 2002/58/EY”, säädetään seuraavaa:
”Tällä asetuksella ei aseteta luonnollisille henkilöille tai oikeushenkilöille lisävelvoitteita sellaisen käsittelyn osalta, joka liittyy yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoamiseen yleisissä viestintäverkoissa unionissa, suhteessa sellaisiin seikkoihin, joiden osalta niiden on noudatettava [direktiivissä 2002/58] säädettyjä erityisiä velvoitteita, joilla on sama tavoite.”
3.     Direktiivi 2002/58

23.      Direktiivin 2002/58 johdanto-osan 17 perustelukappaleessa todetaan seuraavaa:
”Tässä direktiivissä käyttäjän tai tilaajan suostumuksella olisi, siitä riippumatta, onko kyseessä luonnollinen vai oikeushenkilö, tarkoitettava samaa kuin rekisteröidyn suostumuksella [direktiivissä 95/46] määritellyn ja tarkennetun mukaisesti. Suostumus voidaan antaa käyttäen mitä tahansa soveltuvaa tapaa, joka mahdollistaa vapaasti esitetyn täsmällisen ja tietoon perustuvan ilmoituksen käyttäjän toiveista, mukaan lukien ruudun rastittaminen vierailtaessa Internet-sivustolla.”

24.      Jollei toisin säädetä, direktiivissä 2002/58 sovelletaan direktiiviin 95/46(4) ja sähköisten viestintäverkkojen ja  ‑palvelujen yhteisestä sääntelyjärjestelmästä 7.3.2002 annettuun Euroopan parlamentin ja neuvoston direktiiviin 2002/21/EY (puitedirektiivi)(5) sisältyviä määritelmiä. Direktiivin 2002/58 2 artiklan f alakohdan määritelmän mukaan käyttäjän tai tilaajan ”suostumuksella” tarkoitetaan samaa kuin rekisteröidyn suostumuksella direktiivissä 95/46. Tästä seuraa, että direktiiviä 2002/58 sovellettaessa suostumuksen määritelmä on sama kuin yleisen tietosuoja-asetuksen 4 artiklan 11 alakohdassa, jonka sanamuoto esitetään tämän ratkaisuehdotuksen 14 kohdassa.

25.      Direktiivin 2002/58 12 artiklan 2 ja 3 kohdassa säädetään seuraavaa:
”2.      Jäsenvaltioiden on varmistettava, että tilaajille annetaan mahdollisuus määritellä, mainitaanko heidän henkilötietonsa julkisessa luettelossa ja mitkä tiedot niissä mainitaan, siinä määrin kuin tällaiset tiedot ovat merkityksellisiä luettelon julkaisijan määrittelemän luettelon tarkoituksen kannalta, sekä tarkistaa, korjata tai poistaa tällaisia tietoja. Tilaajan mainitsematta jättämisen julkisessa tilaajaluettelossa tai hänen henkilötietojensa tarkistamisen, korjaamisen tai siitä poistamisen on oltava maksutonta.
3.      Jäsenvaltiot voivat vaatia, että julkisen luettelon käyttöön muuhun tarkoitukseen kuin yhteystietojen etsimiseen nimen tai tarvittaessa mahdollisimman harvojen muiden tunnisteiden perusteella pyydetään tilaajan lisäsuostumus.”
B       Belgian oikeus

26.      Sähköisestä viestinnästä 13.6.2005 annetulla lailla (Wet van 13 juni 2005 betreffende de elektronische communicatie) saatetaan muun muassa direktiivi 2002/58 osaksi Belgian lainsäädäntöä.(6) Sen 133 §:n 1 momentilla pannaan täytäntöön direktiivin 2002/58 12 artiklan 2 kohta. Muihin WEC:n säännöksiin, jotka ovat merkityksellisiä ennakkoratkaisua pyytäneen tuomioistuimen esittämiin kysymyksiin ehdotettujen vastausten kannalta, viitataan jäljempänä.
IV     Asian käsittelyn vaiheet ja menettely unionin tuomioistuimessa

27.      Siltä osin kuin on merkityksellistä unionin tuomioistuimelle esitetyn ennakkoratkaisupyynnön kannalta, tietosuojaviranomaisen riidanratkaisuelin määräsi 30.7.2020 Proximuksen i) ryhtymään välittömästi asianmukaisiin toimiin valituksen tekijän suostumuksen peruuttamisen johdosta ja siten noudattamaan yleisessä tietosuoja-asetuksessa henkilötietojen käsittelylle asetettuja vaatimuksia; ii) noudattamaan valituksen tekijän pyyntöä käyttää ”oikeuttaan tulla unohdetuksi” ja iii) lopettamaan lainvastaisen tietojenkäsittelyn, joka koostui henkilötietojen välittämisestä edelleen luetteloja tarjoaville kolmansille osapuolille. Se myös antoi Proximukselle huomautuksen yleisen tietosuoja-asetuksen 24 artiklan rikkomisesta. Tietosuojaviranomaisen riidanratkaisuelin määräsi Proximukselle 20 000 euron sakon yleisen tietosuoja-asetuksen 6, 7 ja 12 artiklan rikkomisesta (jäljempänä riidanalainen päätös).

28.      Proximus valitti riidanalaisesta päätöksestä Hof van beroep te Brusseliin, joka esitti unionin tuomioistuimelle seuraavat ennakkoratkaisukysymykset:
”1)      Onko [direktiivin 2002/58] 12 artiklan 2 kohtaa, luettuna yhdessä saman direktiivin 2 artiklan [toisen kohdan] f alakohdan ja yleisen tietosuoja-asetuksen 95 artiklan kanssa, tulkittava siten, että siinä sallitaan se, että kansallinen valvontaviranomainen edellyttää tilaajan yleisessä tietosuoja-asetuksessa tarkoitettua suostumusta perusteena kyseisen tilaajan henkilötietojen julkaisemiselle sekä itse operaattorin että kolmansien palveluntarjoajien julkaisemissa yleisesti saatavilla olevissa luetteloissa ja niiden tarjoamissa numerotiedotuspalveluissa, jollei ole kansallista lainsäädäntöä, jossa säädettäisiin toisin?
2)      Onko yleisen tietosuoja-asetuksen 17 artiklassa säädettyä oikeutta tietojen poistamiseen tulkittava siten, että se on esteenä sille, että kansallinen valvontaviranomainen pitää tilaajan pyyntöä siitä, että hänet poistetaan yleisesti saatavilla olevista luetteloista ja numerotiedotuspalveluista, yleisen tietosuoja-asetuksen 17 artiklassa tarkoitettuna tietojen poistamista koskevana pyyntönä?
3)      Onko yleisen tietosuoja-asetuksen 24 artiklaa ja 5 artiklan 2 kohtaa tulkittava siten, että ne ovat esteenä sille, että kansallinen valvontaviranomainen johtaa niissä asetetusta osoitusvelvollisuudesta, että rekisterinpitäjän on toteutettava tarvittavat tekniset ja organisatoriset toimenpiteet ilmoittaakseen kolmansille rekisterinpitäjille, nimittäin puhelinpalveluntarjoajille ja muille luettelojen ja numerotiedotuspalvelujen tarjoajille, jotka ovat vastaanottaneet tietoja kyseiseltä rekisterinpitäjältä, että rekisteröity on peruuttanut suostumuksensa yleisen tietosuoja-asetuksen 6 artiklan, luettuna yhdessä 7 artiklan kanssa, mukaisesti?
4)      Onko yleisen tietosuoja-asetuksen 17 artiklan 2 kohtaa tulkittava siten, että se on esteenä sille, että kansallinen valvontaviranomainen määrää yleisesti saatavilla olevien luettelojen ja numerotiedotuspalvelujen tarjoajan, jota pyydetään lopettamaan henkilöä koskevien tietojen julkaiseminen, toteuttamaan kohtuullisia toimenpiteitä tietojen poistamista koskevan pyynnön saattamiseksi hakukoneiden tietoon?”

29.      Proximus, tietosuojaviranomainen, Italian, Latvian, Portugalin ja Romanian hallitukset sekä Euroopan komissio esittivät kirjallisia huomautuksia.

30.      Proximuksen, tietosuojaviranomaisen ja komission lausumat ja vastaukset unionin tuomioistuimen esittämiin kysymyksiin kuultiin 9.9.2022 pidetyssä istunnossa.
V       Arviointi

A       Ennakkoratkaisukysymysten tutkittavaksi ottaminen

31.      Alustavana seikkana Proximus väittää, että ensimmäisen kysymyksen se osa, joka koskee teleoperaattoreiden velvollisuuksia erotuksena luettelojen tarjoajille asetetuista velvollisuuksista, samoin kuin toinen ja neljäs kysymys ovat hypoteettisia ja/tai merkityksettömiä niiden seikkojen kannalta, jotka ennakkoratkaisua pyytäneen tuomioistuimen on ratkaistava, eikä niitä voida siten ottaa tutkittavaksi.

32.      Unionin tuomioistuin on johdonmukaisesti katsonut, että SEUT 267 artiklan mukaisessa menettelyssä yksinomaan kansallisen tuomioistuimen, jossa asia on vireillä ja joka vastaa annettavasta ratkaisusta, tehtävänä on kunkin asian erityispiirteiden perusteella harkita, onko ennakkoratkaisu tarpeen asian ratkaisemiseksi ja onko sen unionin tuomioistuimelle esittämillä kysymyksillä merkitystä asian kannalta. Jos esitetyt kysymykset koskevat unionin oikeuden tulkintaa, unionin tuomioistuimen on siten lähtökohtaisesti ratkaistava ne.(7)

33.      Unionin tuomioistuin voi kieltäytyä vastaamasta kansallisen tuomioistuimen esittämään ennakkoratkaisukysymykseen vain, jos on ilmeistä, että unionin oikeuden tulkitsemisella, jota kansallinen tuomioistuin on pyytänyt, ei ole mitään yhteyttä pääasian tosiseikkoihin tai kohteeseen, jos kyseinen ongelma on luonteeltaan hypoteettinen tai jos unionin tuomioistuimella ei ole tiedossaan niitä tosiseikkoja ja oikeudellisia seikkoja, jotka ovat tarpeen, jotta se voisi antaa hyödyllisen vastauksen sille esitettyihin kysymyksiin.(8)

34.      Tutkittavaksi ottamisen edellytysten puuttumista koskeviin Proximuksen väitteisiin vastaamiseksi aion ensin esittää asianosaisten ja muiden osapuolten unionin tuomioistuimessa esittämät pääasialliset lausumat, jotta voidaan arvioida, ovatko neljä ennakkoratkaisukysymystä niin kaukana ennakkoratkaisua pyytäneessä tuomioistuimessa käsiteltävän riidan kohteesta, ettei niillä ole mitään yhteyttä pääasian tosiseikkoihin tai kohteeseen, jolloin ne kaikki tai osa niistä on jätettävä tutkimatta.

35.      Proximus katsoo, ettei sillä ole velvollisuutta saada valituksen tekijän suostumusta hänen yhteystietojensa mainitsemiseen omissa luetteloissaan tai antaa hänelle tilaisuutta määritellä, mainitaanko hänen henkilötietonsa niissä. Proximuksen mukaan teleoperaattori (tässä tapauksessa Telenet) on vastuussa näistä seikoista. Tästä seuraa, että valituksen tekijän olisi pitänyt osoittaa pyyntönsä yhteystietojen poistamiseksi Proximuksen luetteloista Telenetille. Toissijaisesti Proximus katsoo, että ”oikeutta tulla unohdetuksi” koskevat yleisen tietosuoja-asetuksen säännökset ovat merkityksettömiä, koska yhteystietoja poistettaessa merkintä ”NNNNN” muutetaan muotoon ”XXXXX”. Tässä on kyse tietojen oikaisemisesta eikä poistamisesta. On myös kohtuutonta vaatia Proximusta ilmoittamaan hakukoneiden tarjoajille valituksen tekijän pyynnöstä, koska on epävarmaa, saivatko viimeksi mainitut hänen yhteystietonsa Proximukselta vai joltain muulta luettelojen tarjoajalta.

36.      Tietosuojaviranomainen katsoo, että valituksen tekijän yhteystietojen mainitseminen luetteloissa edellytti hänen etukäteen antamaansa suostumusta. Sen jälkeen, kun valituksen tekijä oli ilmoittanut Proximukselle, ettei hän enää halunnut yhteystietojaan mainittavan niissä, näiden tietojen mainitsemisesta edelleen kaikissa tällaisissa luetteloissa tuli lainvastaista. Valituksen tekijän pyyntö merkitsi hänen suostumuksensa peruuttamista ja yleisen tietosuoja-asetuksen 17 artiklassa tarkoitetun ”oikeuden tulla unohdetuksi" käyttämistä. Yleisen tietosuoja-asetuksen 17 artiklan 2 kohdassa velvoitettiin Proximus ilmoittamaan tästä pyynnöstä hakukoneiden tarjoajille. Yleisen tietosuoja-asetuksen 5 artiklan 2 kohdassa ja 24 artiklassa annetaan myös tietosuojaviranomaiselle mahdollisuus vaatia Proximusta ilmoittamaan tästä pyynnöstä teleoperaattorille ja muille luettelojen tarjoajille.

37.      Italian hallituksen ja komission huomautukset ovat pitkälti samansuuntaiset kuin tietosuojaviranomaisen esittämät. Vaikka Latvian, Portugalin ja Romanian hallitusten huomautuksissa omaksutaan samankaltainen lähestymistapa, niihin sisältyvät myös seuraavat varaumat. Latvian hallitus huomauttaa, ettei ole olemassa oikeusperustaa, jonka perusteella jokaisen luettelojen tarjoajan voidaan edellyttää hankkivan erilliset suostumukset: eri tarjoajien, jotka käyttävät tietoja samaan tarkoitukseen, on myös voitava tukeutua rekisteröidyn kerran antamaan suostumukseen. Romanian hallitus katsoo, ettei yleisen tietosuoja-asetuksen 5 artiklan 2 kohtaan ja 24 artiklaan voida vedota tietosuojaviranomaisen väittämällä tavalla, koska kyseisissä säännöksissä ei aseteta rekisterinpitäjille velvollisuuksia käydä vuoropuhelua muiden rekisterinpitäjien kanssa. Portugalin hallituksen mukaan rekisterinpitäjien velvollisuus ilmoittaa kolmansille osapuolille, hakukoneiden tarjoajat mukaan lukien, pyynnöistä poistaa tiedot perustuu yleisen tietosuoja-asetuksen 19 artiklaan eikä sen 17 artiklan 2 kohtaan.

38.      Tämän menettelyn osapuolten unionin tuomioistuimessa esittämiä pääasiallisia lausumia koskevan lyhyen yleiskatsauksen perusteella olen vakuuttunut siitä, että kaikki neljä ennakkoratkaisua pyytäneen tuomioistuimen esittämää kysymystä ovat merkityksellisiä siinä käsiteltävän riidan kohteen kannalta ja liittyvät siihen niin läheisesti, ettei mitään osaa niistä voida pitää sellaisena, että siltä puuttuisivat tutkittavaksi ottamisen edellytykset. Ehdotan näin ollen, että unionin tuomioistuin hylkää Proximuksen ennakkoratkaisukysymyksen tutkittavaksi ottamisesta esittämät väitteet.
B       Aineellinen arviointi

1.     Ensimmäinen ennakkoratkaisukysymys

39.      Ensimmäisellä kysymyksellään ennakkoratkaisua pyytänyt tuomioistuin tiedustelee lähinnä, onko direktiivin 2002/58 12 artiklan 2 kohdan, luettuna yhdessä saman direktiivin 2 artiklan f alakohdan ja yleisen tietosuoja-asetuksen 95 artiklan kanssa, perusteella tilaajan suostumus, sellaisena kuin se on määritelty yleisessä tietosuoja-asetuksessa, edellytys hänen yhteystietojensa mainitsemiselle teleoperaattorin ja/tai muiden luettelojen tarjoajien julkaisemissa luetteloissa.

40.      Direktiivin 2002/58 12 artiklan 2 kohdassa edellytetään, että tilaajille annetaan mahdollisuus määritellä, mainitaanko heidän henkilötietonsa julkisessa luettelossa. Tähän edellytykseen sisältyy implisiittisesti vastaava velvollisuus antaa tilaajille mahdollisuus tehdä nimenomainen valinta, haluavatko he tietonsa mainittavan tällaisissa luetteloissa. Direktiivin 2002/58 12 artiklan 3 kohdassa viitataan lisäksi siihen, että julkisen luettelon käyttöön muuhun tarkoitukseen kuin yhteystietojen etsimiseen nimen perusteella voidaan pyytää tilaajan ”lisäsuostumus”.(9) Mainittuun 12 artiklan 3 kohtaan sisältyvä viittaus ”lisäsuostumukseen” tarkoittaa myös, että 12 artiklan 2 kohdassa edellytetään alun perinkin suostumuksen saamista tällaiseen julkaisemiseen.

41.      Kuten tämän ratkaisuehdotuksen 23 ja 24 kohdassa huomautettiin, direktiivin 2002/58 2 artiklan f alakohdassa ”suostumuksella” tarkoitetaan mitä tahansa vapaaehtoista, yksilöityä, tietoista ja yksiselitteistä tahdonilmaisua, jolla rekisteröity hyväksyy henkilötietojensa käsittelyn antamalla suostumusta ilmaisevan lausuman tai toteuttamalla selkeästi suostumusta ilmaisevan toimen.

42.      Direktiivissä 2002/58 tarkoitettuun suostumuksen määritelmään sisältyvä viittaus ”suostumusta ilmaisevaan toimeen” on lisäosoitus siitä, että tilaajille on annettava mahdollisuus valita (”opt-in”) henkilötietojensa mainitseminen julkisessa luettelossa. Toisin kuin Proximus väittää, luettelojen tarjoajat eivät voi olettaa, että tilaaja antaa lähtökohtaisesti suostumuksen yhteystietojensa mainitsemiseen julkisessa luettelossa – mitä voitaisiin myös kuvata ”opt-out"  ‑lähestymistavaksi.

43.      Lisäksi unionin tuomioistuin on katsonut, että direktiivin 2002/58 12 artiklan kontekstuaalisesta ja systemaattisesta tulkinnasta seuraa, että kyseisen artiklan 2 kohdassa tarkoitettu suostumus koskee tarkoitusta, jota varten henkilötiedot julkaistaan julkisessa luettelossa, eikä tiettyä luettelon tarjoajaa. Direktiivin 2002/58 12 artiklan 2 kohdan mukaisesti annettu suostumus ulottuu siten kaikkeen yleisesti saatavilla olevien numerotiedotuspalvelujen ja luetteloiden markkinoilla toimivien kolmansien yritysten kyseisten tietojen käsittelyyn, kunhan tällaisella tietojen käsittelyllä on tämä sama tarkoitus.(10)

44.      Tästä seuraa, että tilaajan suostumus, sellaisena kuin se määritellään yleisen tietosuoja-asetuksen 4 artiklan 11 alakohdassa, vaaditaan, jotta hänen henkilötietonsa voidaan mainita teleoperaattorin ja/tai kolmansien luettelojen tarjoajien julkaisemissa luetteloissa. Jos tällaisella julkaisemisella on sama tarkoitus, teleoperaattori ja/tai kolmas luettelojen tarjoaja (tarjoajat) voi vedota samaan suostumukseen.

45.      Totean lisäksi, että yleisen tietosuoja-asetuksen 7 artiklan 1 kohdassa säädetään, että jos tietojenkäsittely perustuu suostumukseen, rekisterinpitäjän on pystyttävä osoittamaan, että rekisteröity on antanut suostumuksen henkilötietojensa käsittelyyn. Proximuksen kaltainen luettelojen tarjoaja ei voi olettaa tilaajan antaneen suostumuksensa, vaikka se voikin vedota suostumukseen, jonka tilaaja antoi toiselle rekisterinpitäjälle.

46.      Proximus vetoaa direktiivin 2002/58 johdanto-osan 38 ja 39 perustelukappaleeseen tukeakseen väitettään, joiden mukaan velvollisuus i) ilmoittaa tilaajille niiden luettelojen tarkoituksesta, joissa heidän henkilötietonsa on tarkoitus mainita, ja ii) antaa heille tilaisuus määritellä, mainitaanko heidän henkilötietonsa luettelossa, kuuluu yksinomaan teleoperaattorille, jonka kanssa tilaajalla on sopimus. Mainittujen johdanto-osan perustelukappaleiden sanamuoto ei tue tätä väitettä. Johdanto-osan 38 perustelukappaleen mukaan ”yleisesti saatavilla olevia tilaajaluetteloita julkaisevien” olisi ”ilmoitettava tällaisiin luetteloihin sisällytettäville tilaajille, mikä on luettelon tarkoitus – –”. Johdanto-osan 39 perustelukappaleessa todetaan, että ”velvollisuus ilmoittaa tilaajille niiden julkisten luetteloiden käyttötarkoituksista, joihin heidän henkilötietonsa merkitään, olisi asetettava sille osapuolelle, joka kerää kyseisiä tietoja”.

47.      Koska Telenet ei julkaise luetteloja, siihen ei sovelleta kumpaakaan näistä perustelukappaleista. Vaikka teleoperaattori voi saada tilaajien suostumuksen heidän tietojensa mainitsemiseen kolmansien osapuolten tarjoamissa luetteloissa ja nämä kolmannet osapuolet voivat sen jälkeen vedota siihen ja osoittaa, että tällainen suostumus oli annettu teleoperaattorille, direktiivin 2002/58 johdanto-osan 38 ja 39 perustelukappaleesta ei ilmene, että ainoastaan teleoperaattoreilla olisi velvollisuus saada tämä suostumus, mikä vapauttaisi kolmannet luettelojen tarjoajat niiden vastuusta tältä osin.

48.      Lisäksi, koska direktiivissä 2002/58 käytetään nimenomaisesti yleiseen tietosuoja-asetukseen sisältyvää suostumuksen määritelmää, Proximuksen yleisen tietosuoja-asetuksen 95 artiklan tulkinnasta ja yleisen tietosuoja-asetuksen ja direktiivin 2002/58 välisestä suhteesta, jota se luonnehtii ”lex generalis / lex specialis”  ‑suhteeksi, esittämät näkemykset ovat merkityksettömiä.

49.      Ehdotan näin ollen, että unionin tuomioistuin vastaa ensimmäiseen kysymykseen siten, että direktiivin 2002/58 12 artiklan 2 kohdan nojalla, luettuna yhdessä sen 2 artiklan f alakohdan ja yleisen tietosuoja-asetuksen 95 artiklan kanssa, tilaajan ”suostumus”, sellaisena kuin se on määritelty yleisen tietosuoja-asetuksen 4 artiklan 11 alakohdassa, vaaditaan hänen yhteystietojensa mainitsemiseksi teleoperaattorin ja/tai muiden luettelojen tarjoajien julkaisemissa luetteloissa.
2.     Toinen ennakkoratkaisukysymys

50.      Toisella kysymyksellään ennakkoratkaisua pyytänyt tuomioistuin pyrkii selvittämään, merkitseekö tilaajan pyyntö tietojensa poistamisesta luetteloista yleisen tietosuoja-asetuksen 17 artiklassa säädetyn ”oikeuden tietojen poistamiseen” käyttämistä.

51.      Proximus väittää, ettei kolmannella luettelojen tarjoajalla ole velvollisuutta noudattaa tilaajan pyyntöä tietojen poistamisesta luetteloista, koska yleisen tietosuoja-asetuksen 17 artiklaa ei sovelleta tällaiseen kolmanteen osapuoleen. Tilaajan olisi pitänyt osoittaa pyyntönsä teleoperaattorille, jonka kanssa hänellä on sopimus. Proximus myös väittää, että yleisen tietosuoja-asetuksen ja direktiivin 2002/58 välinen suhde on lex generalis / lex specialis  ‑suhde.

52.      Toissijaisesti Proximus väittää, että valituksen tekijän pyyntö ”[olla mainitsematta] puhelinnumeroa – – osoitteessa 12.07.be” on yleisen tietosuoja-asetuksen 16 artiklassa tarkoitettu tietojen oikaisemista koskeva pyyntö eikä saman asetuksen 17 artiklan mukainen pyyntö tietojen poistamisesta, sillä tilaajaa koskeva merkintä pelkästään muutetaan muodosta ”NNNNN” muotoon ”XXXXX”.

53.      Direktiivin 2002/58 12 artiklan 2 kohdassa säädetään, että tilaajille on annettava mahdollisuus ”korjata tai poistaa” henkilötietoja, joiden mainitsemiseen luetteloissa he antavat suostumuksensa. Direktiivissä 2002/58 ei määritellä käsitteitä ”korjata tai poistaa”. Näin ollen on asianmukaista ottaa huomioon näiden ilmaisujen tavanomainen merkitys siinä asiayhteydessä, jossa ne esiintyvät, nimittäin tilaajien yhteystietojen mainitseminen luetteloissa. Ilmaisu ”korjata” koskee selkeästi tilanteita, joissa tilaajat haluavat muuttaa tapaa, jolla heidän yhteystietonsa esitetään luettelossa, esimerkiksi korjata nimen kirjoitusasua tai virheellistä osoitetta. Tämä tilanne eroaa käsiteltävässä asiassa kyseessä olevasta tilanteesta, jossa valituksen tekijä haluaa, ettei hänen yhteystietojaan enää mainita julkisissa luetteloissa. Ilmaisun ”poistaa” merkityksiä ovat ”irrottaa”, ”kumota” tai ”peruuttaa”. Kun valituksen tekijä ei enää antanut suostumustaan tietojensa käsittelyyn mainitsemalla ne luetteloissa, hänen voidaan sanoa pyytäneen henkilötietojensa poistamista direktiivin 2002/58 12 artiklan 2 kohdassa tarkoitetulla tavalla.

54.      Kuten Latvian hallitus huomauttaa, direktiiviin 2002/58 ei sisälly muita viitteitä henkilötietojen ”poistamista” koskevien pyyntöjen yksityiskohdista, toteutuksesta ja seurauksista. Yleisen tietosuoja-asetuksen säännöksiä sovelletaan siten suoraan, minkä seurauksena Proximuksen väite, joka perustuu näiden kahden säädöksen väliseen lex generalis / lex specialis  ‑suhteeseen, menettää merkityksensä. Yleisen tietosuoja-asetuksen 7 artiklan 3 kohdan mukaan tilaajalla on oikeus peruuttaa suostumuksensa milloin tahansa. Kun suostumus on peruutettu, yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan a alakohdassa säädetään, että tilaajan tietojen käsittely luetteloissa mainitsemista koskevaan nimenomaiseen tarkoitukseen ei ole enää lainmukaista. Tämä puolestaan johtaa yleisen tietosuoja-asetuksen 17 artiklan soveltamiseen.

55.      Proximus väittää, ettei tämä tulkinta voi olla oikea, koska se tarkoittaisi, että sekä se että Telenet olisivat velvollisia poistamaan valituksen tekijän tiedot kaikista tietokannoistaan. Tietosuojaviranomainen ja muut unionin tuomioistuimelle huomautuksia esittäneet osapuolet katsovat, että valituksen tekijän pyyntö rajoittuu hänen tietojensa poistamiseen luetteloista eikä koske niiden poistamista Telenetin tilaajatietokannasta.

56.      Valituksen tekijä pyrkii estämään tietojensa käsittelyn luetteloihin liittyviin tarkoituksiin. Yleisen tietosuoja-asetuksen 17 artiklan 1 kohdan b alakohta, joka mahdollistaa käsittelyn perustana olevan suostumuksen peruuttamisen, tukee hänen toivettaan. Suostumus, joka tilaajan on annettava direktiivin 2002/58 12 artiklan 2 kohdan mukaisesti, koskee tietojen käsittelyä tietyllä tavalla, nimittäin luetteloissa julkaisemisen tarkoitukseen. Kun tämä suostumus on peruutettu, kyseisestä tilaajan tietojen käsittelyn nimenomaisesta tavasta tulee lainvastainen. Jos asia olisi toisin, tilaaja ei pystyisi peruuttamaan suostumustaan tietojen luetteloissa julkaisemiseen päättämättä samanaikaisesti televiestintäpalvelujen tarjoamista koskevaa sopimustaan.

57.      Ehdotan näin ollen, että unionin tuomioistuin vastaa toiseen ennakkoratkaisukysymykseen siten, että tilaajan pyyntö tietojensa poistamisesta luetteloista merkitsee yleisen tietosuoja-asetuksen 17 artiklassa säädetyn ”oikeuden tietojen poistamiseen” käyttämistä.

3.     Kolmas ennakkoratkaisukysymys

58.      Kolmannella kysymyksellään ennakkoratkaisua pyytänyt tuomioistuin pyrkii lähinnä selvittämään, voiko kansallinen valvontaviranomainen yleisen tietosuoja-asetuksen 5 artiklan 2 kohdan ja 24 artiklan nojalla johtaa, että rekisterinpitäjän on toteutettava tarvittavat tekniset ja organisatoriset toimenpiteet ilmoittaakseen kolmansille rekisterinpitäjille, nimittäin teleoperaattorille ja muille luettelojen tarjoajille, jotka ovat vastaanottaneet tietoja ensiksi mainitulta rekisterinpitäjältä, että rekisteröity on peruuttanut suostumuksensa yleisen tietosuoja-asetuksen 6 artiklan, luettuna yhdessä 7 artiklan kanssa, mukaisesti.

59.      Tässä kysymyksessä ”rekisterinpitäjä” on Proximus ja ”kolmansia rekisterinpitäjiä” ovat i) teleoperaattori, Telenet, jolta valituksen tekijä on tilannut puhelinpalveluja, ja ii) luettelojen, joihin Proximus toimittaa tilaajatietoja, Telenetiltä saamansa tiedot mukaan luettuina, tarjoaja(t).

60.      Koska teleoperaattori ei tarjoa luetteloja ja tilaajien yhteystietojen mainitsemiseen luetteloissa on saatava suostumus, herää kysymys, miksi olisi merkityksellistä ilmoittaa teleoperaattorille siitä, että tilaaja on peruuttanut suostumuksensa tietojensa käyttämiseen tähän tarkoitukseen.

61.      WEC:ssä edellytetään, että teleoperaattorit välittävät tilaajien yhteystiedot luettelojen tarjoajille.(11) Niiden on kuitenkin ”pidettävä erillään” niiden tilaajien yhteystiedot, jotka ovat ilmoittaneet, etteivät halua niitä mainittavan luettelossa, jotta he voivat saada kopion tästä luettelosta.(12) Kuten tämän ratkaisuehdotuksen 4 kohdassa kuvattiin, suostumuksen peruutus tehdään mukauttamalla tilaajaa koskevia merkintöjä. Proximus päivittää tietokantaansa vastaanotettuaan suostumuksen peruuttamisen. Tämän päivityksen päälle kuitenkin kirjoitetaan, kun Proximus vastaanottaa teleoperaattorilta uusia tilaajatietoja, jotka on tarkoitus mainita luetteloissa, eikä teleoperaattorille ole ilmoitettu tilaajan pyynnöstä, ettei hänen tietojaan mainita julkisessa luettelossa. Proximuksen on siten paitsi päivitettävä oma tietokantansa, jotta se vastaa tilaajan suostumuksen peruuttamista, myös ilmoitettava tästä peruuttamisesta teleoperaattorille.

62.      Proximus väittää näin ollen olevansa pelkästään yleisen tietosuoja-asetuksen 19 artiklassa tarkoitettu ”vastaanottaja, jolle henkilötietoja on luovutettu”. Yleisen tietosuoja-asetuksen 17 artiklan 2 kohtaan sisältyvää rekisterinpitäjien velvollisuutta toteuttaa kohtuulliset toimenpiteet ilmoittaakseen muille rekisterinpitäjille tietojen poistamista koskevista pyynnöistä, ei siten sovelleta siihen. Proximuksen mukaan tästä seuraa, että on väärin tulkita yleisen tietosuoja-asetuksen 5 artiklan 2 kohtaa ja 24 artiklaa siten, että niissä asetetaan sille velvollisuus ilmoittaa teleoperaattorille ja muille luettelojen tarjoajille sen vastaanottamista poistamista koskevista pyynnöistä.

63.      Minun on vaikea nähdä, että Proximus olisi pelkkä henkilötietojen vastaanottaja. Vaikka se onkin saanut valituksen tekijän yhteystiedot Telenetiltä, näiden tietojen julkaiseminen sen luetteloissa merkitsee yleisen tietosuoja-asetuksen 4 artiklan 2 kohdassa tarkoitettua tietojen käsittelyä. Tässä yhteydessä Proximus toimii yleisen tietosuoja-asetuksen 4 artiklan 7 kohdassa tarkoitettuna rekisterinpitäjänä.(13) Yleisen tietosuoja-asetuksen 5 artiklan 2 kohdan ja 24 artiklan mukaisesti rekisterinpitäjiin sovelletaan velvollisuuksia, jotka koskevat osoittamista ja kohtuullisten toimenpiteiden toteuttamista sen varmistamiseksi, että tietojen käsittelyssä noudatetaan yleistä tietosuoja-asetusta.

64.      Yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohdan mukaan henkilötietoja on käsiteltävä lainmukaisesti. Sen 6 artiklan 1 kohdan a alakohdan mukaan käsittely on lainmukaista ainoastaan jos ja vain siltä osin kuin rekisteröity on antanut suostumuksensa henkilötietojensa käsittelyyn yhtä tai useampaa erityistä tarkoitusta varten. Ennakkoratkaisupyynnöstä ilmenee, että valituksen tekijä peruutti yleisen tietosuoja-asetuksen 7 artiklassa tarkoitetun suostumuksensa siihen, että hänen henkilötietojaan käsitellään luetteloissa julkaisemista varten. Tällainen käsittely, myös muiden luettelojen tarjoajien samaan tarkoitukseen suorittama käsittely, ei ole yleisen tietosuoja-asetuksen mukaista. Se on siten lainvastaista.

65.      Tämän toteamuksen ja yleisen tietosuoja-asetuksen 17 artiklan 2 kohtaan ja 19 artiklaan sisältyvien ilmoitusvaatimusten kanssa yhdenmukaista on se, että kansallinen valvontaviranomainen voi yleisen tietosuoja-asetuksen 5 artiklan 2 kohdassa säädetystä osoitusvelvollisuudesta ja 24 artiklassa säädetystä velvollisuudesta varmistaa ja osoittaa, että käsittelyssä noudatetaan kyseistä asetusta, johtaa, että rekisterinpitäjän on toteutettava tarvittavat tekniset ja organisatoriset toimenpiteet ilmoittaakseen kolmansille rekisterinpitäjille, nimittäin teleoperaattorille ja muille luettelojen tarjoajille, jotka ovat vastaanottaneet tietoja ensiksi mainitulta rekisterinpitäjältä, että rekisteröity on peruuttanut suostumuksensa yleisen tietosuoja-asetuksen 6 artiklan, luettuna yhdessä 7 artiklan kanssa, mukaisesti.

66.      Romanian hallitus toteaa, että yleisen tietosuoja-asetuksen 17 artiklaan sisältyy ilmoitusvaatimuksia, joita edellytetään hakukoneiden tarjoajilta, kun tietojen poistamista koskevia pyyntöjä esitetään. Kansallisen valvontaviranomaisen olisi siten epäasianmukaista vedota yleisen tietosuoja-asetuksen 5 artiklan 2 kohtaan ja 24 artiklaan, etenkin koska näissä säännöksissä ei aseteta erityisiä velvollisuuksia, jotka koskevat tietojen välittämistä kolmansille osapuolille.

67.      Yleisen tietosuoja-asetuksen 5 artiklan 2 kohdassa ja 24 artiklassa asetetaan nähdäkseni yleisiä osoitus- ja noudattamisvaatimuksia rekisterinpitäjille. Niiden laajan sanamuodon ja soveltamisalan vuoksi niistä voi olla apua kansalliselle valvontaviranomaiselle, joka pyrkii asettamaan rekisterinpitäjille ilmoitusvaatimuksia kolmansiin osapuoliin nähden. Pitää paikkansa, että yleisen tietosuoja-asetuksen 17 artiklan 2 kohdassa ja 19 artiklassa asetetaan erityisiä ilmoitusvelvollisuuksia ”rekisterinpitäjille” (niiden tietojen osalta, jotka on julkaistu ja joiden poistamista on pyydetty) ja ”vastaanottajille”. Kyseiset säännökset eivät kuitenkaan kata nyt tarkasteltavaa tosiasiallista tilannetta, jossa eri osapuolten tietokantojen keskinäisen vuorovaikutuksen takia on tarpeen ilmoittaa teleoperaattorille sen suostumuksen peruuttamisesta, jota ilman Proximus ja siltä saamiaan tilaajatietoja käyttävät tarjoajat päätyvät käsittelemään tietoja lainvastaisesti.

68.      Tämä yleisen tietosuoja-asetuksen tulkinta johtaa tilanteeseen, jossa tilaaja voi ilmoittaa suostumuksensa peruuttamisesta (tässä tapauksessa pyynnöstä olla mainitsematta hänen yhteystietojaan luetteloissa) mille tahansa taholle, joka mainitsee kyseiset yhteystiedot luetteloissa, tai mille tahansa taholle (myös teleoperaattorille), joka välittää tällaisia yhteystietoja muille samaan tarkoitukseen. Taho, jota tilaaja päättää lähestyä, on sitten velvollinen välittämään hänen tietojen poistamista koskevan pyyntönsä muille rekisterinpitäjille siltä osin kuin se on tarpeen, jotta varmistetaan, ettei tietoja käsitellä lainvastaisesti. Tällainen tulkinta on linjassa sen velvollisuuden kanssa, joka yleisen tietosuoja-asetuksen 12 artiklan 2 kohdassa asetetaan rekisterinpitäjille ja jonka mukaan rekisterinpitäjän on helpotettava 15–22 artiklan mukaisten rekisteröidyn oikeuksien käyttämistä. Se myös kuvastaa yleisen tietosuoja-asetuksen 7 artiklan 3 kohdan viimeiseen virkkeeseen sisältyvää vaatimusta, jonka mukaan henkilötietojen käsittelyä koskevan suostumuksen peruuttamisen on oltava yhtä helppoa kuin sen antaminen. Koska luettelojen tarjoaja voi vedota suostumukseen, jonka tilaaja on antanut toiselle tarjoajalle tietojen käsittelyyn tähän tarkoitukseen, tästä seuraa, että suostumuksen peruuttamiseksi tilaajan on voitava olla yhteydessä mihin tahansa luettelojen tarjoajaan tai teleoperaattoriin, jotta hänen yhteystietonsa poistetaan kaikkien niiden, jotka vetoavat hänen kerran antamaansa suostumukseen, julkaisemista luetteloista.

69.      Ehdotan näin ollen, että kolmanteen ennakkoratkaisukysymykseen vastataan siten, että yleisen tietosuoja-asetuksen 5 artiklan 2 kohdan ja 24 artiklan nojalla kansallinen valvontaviranomainen voi johtaa, että rekisterinpitäjän on toteutettava tarvittavat tekniset ja organisatoriset toimenpiteet ilmoittaakseen kolmansille rekisterinpitäjille, nimittäin teleoperaattorille ja muille luettelojen tarjoajille, jotka ovat vastaanottaneet tietoja ensiksi mainitulta rekisterinpitäjältä, että rekisteröity on peruuttanut suostumuksensa yleisen tietosuoja-asetuksen 6 artiklan, luettuna yhdessä 7 artiklan kanssa, mukaisesti.
4.     Neljäs ennakkoratkaisukysymys

70.      Neljännellä kysymyksellään ennakkoratkaisua pyytänyt tuomioistuin tiedustelee lähinnä, onko yleisen tietosuoja-asetuksen 17 artiklan 2 kohta esteenä sille, että kansallinen valvontaviranomainen määrää luettelojen tarjoajan saattamaan saamansa tietojen poistamista koskevat pyynnöt hakukoneiden tarjoajien tietoon.

71.      Tästä kysymyksestä ilmenee epäsuorasti ennakkoratkaisua pyytäneen tuomioistuimen näkemys siitä, ettei valituksen tekijä enää halunnut, että hänen yhteystietonsa ovat julkisesti saatavilla internetissä hakukoneiden välityksellä.

72.      Kuten tämän ratkaisuehdotuksen 62 kohdassa huomautetaan, Proximuksen mukaan yleisen tietosuoja-asetuksen 17 artiklan 2 kohtaa ei sovelleta siihen, koska se on pelkästään henkilötietojen vastaanottaja. Toissijaisesti Proximus väittää, että yleisen tietosuoja-asetuksen 17 artiklan 2 kohdan mukaisesti sen on toteutettava kohtuulliset toimenpiteet ainoastaan ilmoittaakseen rekisterinpitäjille, että rekisteröity on pyytänyt tietojensa poistamista.(14) Koska Proximus ei luovuta tietoja suoraan hakukoneiden tarjoajille, ei ole ”100-prosenttisen varmaa”, että nämä tarjoajat saivat valituksen tekijän yhteystiedot Proximukselta, ja ne ovat voineet saada ne joltain muulta luettelojen tarjoajalta. Tässä tilanteessa olisi kohtuutonta vaatia Proximusta sen jälkeen, kun se on vastaanottanut valituksen tekijän pyynnön, ottamaan suoraan yhteyttä hakukoneiden tarjoajiin.

73.      Toiseen ennakkoratkaisukysymykseen ehdottamastani vastauksesta seuraa, että tilaajan pyyntö tietojensa poistamisesta luetteloista johtaa sen velvollisuuden soveltamiseen, joka yleisen tietosuoja-asetuksen 17 artiklan 2 kohdassa asetetaan rekisterinpitäjälle toteuttaa kohtuulliset toimenpiteet ainoastaan ilmoittaakseen henkilötietoja käsitteleville rekisterinpitäjille, että rekisteröity on pyytänyt kyseisiä rekisterinpitäjiä poistamaan näihin henkilötietoihin liittyvät linkit tai näiden henkilötietojen jäljennökset tai kopiot.

74.      Tästä herää kysymys, ovatko hakukoneiden tarjoajat rekisterinpitäjiä. Indeksointi ja henkilötietojen asettaminen internetin käyttäjien saataville hakutulosten luettelossa on yleisen tietosuoja-asetuksen 4 artiklan 2 alakohdassa tarkoitettua henkilötietojen käsittelyä. Koska hakukoneiden tarjoajat päättävät, miten nämä tiedot indeksoidaan, ja ovat vastuussa sen algoritmin kehittämisestä, joka määrittää hakutulosten järjestyksen, ne määrittelevät henkilötietojen käsittelyn tarkoitukset ja keinot ja toimivat siten yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa tarkoitettuina rekisterinpitäjinä.(15)

75.      Jäljelle jää näin vaatimus, jonka mukaan Proximuksen on toteuttava kohtuulliset toimenpiteet, tekniset toimet mukaan luettuina, ilmoittaakseen hakukoneiden tarjoajille tietojen poistamista koskevasta pyynnöstä.

76.      Toteutettujen toimenpiteiden kohtuullisuuden arvioimiseksi yleisen tietosuoja-asetuksen 17 artiklan 2 kohdassa säädetään, että on otettava huomioon käytettävissä oleva teknologia ja toteuttamiskustannukset – tehtävä, joka kuuluu ensisijaisesti näissä asioissa toimivaltaiselle viranomaiselle ja tuomioistuinvalvonnan piiriin. Tämän ratkaisuehdotuksen 10 kohdassa huomautetaan, että Proximus vastasi valituksen tekijälle ilmoittavansa Googlelle hänen tietojen poistamista koskevasta pyynnöstään. Unionin tuomioistuimessa esittämissään huomautuksissa tietosuojaviranomainen totesi, että vuoden 2020 toisesta neljänneksestä alkaen Belgiassa oli rajallinen määrä hakukoneiden tarjoajia, joista suurin oli Google, jonka markkinaosuus vaihteli 90 prosentista (pöytäkoneilla tehdyt haut) 99 prosenttiin (älypuhelimilla ja tableteilla tehdyt haut).(16) Pelkästään tämän perusteella ei vaikuta perustellulta katsoa, että olisi kohtuutonta vaatia Proximusta ilmoittamaan hakukoneiden tarjoajille tällaisista vastaanottamistaan tietojen poistamista koskevista pyynnöistä.

77.      En ole joka tapauksessa vakuuttunut siitä, että arvioitaessa, ovatko toimenpiteet, jotka Proximuksen on toteutettava ilmoittaakseen tietylle hakukoneen tarjoajalle, ”kohtuullisia” yleisen tietosuoja-asetuksen 17 artiklan 2 kohdassa tarkoitetulla tavalla, on otettava huomioon, oliko ”100-prosenttisen varmaa”, että kyseinen hakukoneen tarjoaja oli saanut poistettavat tiedot Proximukselta. En myöskään pidä vakuuttavana väitettä, jonka mukaan olisi kohtuutonta edellyttää Proximuksen toteuttavan mitä tahansa toimenpiteitä yleisen tietosuoja-asetuksen 17 artiklan 2 kohdan noudattamiseksi, koska ei ole ”100-prosenttisen varmaa”, että hakukoneiden tarjoajat saivat valituksen tekijän yhteystiedot Proximukselta.

78.      Jos rekisterinpitäjien sallittaisiin välttää vastuunsa henkilötietojen käsittelystä sen mahdollisuuden perusteella, ettei kyseisiä tietoja saatu niiltä, tämä tekisi minkä tahansa tällaisen velvollisuuden tehottomaksi useissa tapauksissa, jos tiedot linkitetään tai jäljennetään internetissä. Tällainen lähestymistapa saattaisi jopa muodostaa luonnottoman kannustimen levittää tietoja tämän velvollisuuden välttämiseksi. Lisäksi, jos Proximuksen väitteen perustana olevaa logiikkaa seurataan loppuun asti, yksikään luettelojen tarjoaja ei olisi vastuussa yleisen tietosuoja-asetuksen 17 artiklan 2 kohdan noudattamisesta ilmoittamalla hakukoneiden tarjoajille valituksen tekijän pyynnöstä, koska kaikki nämä tarjoajat voisivat vedota epävarmuuteen tietojen alkuperästä. Lisäksi, koska Telenet ei julkaise luetteloja, hakukoneiden tarjoajat eivät ole voineet saada tietoja teleoperaattorilta. Tämä tarkoittaa, että tilaajan olisi selvitettävä, missä hänen yhteystietonsa ovat saatavilla, ja lähetettävä niiden poistamista koskevia pyyntöjä jokaiselle niitä julkaisevalle taholle. Tällainen lähestymistapa olisi ilmeisessä ristiriidassa yleisen tietosuoja-asetuksen 7 artiklan 3 kohdan kanssa, jonka mukaan suostumuksen peruuttamisen on oltava yhtä helppoa kuin sen antamisen.

79.      Ehdotankin, että unionin tuomioistuin vastaa neljänteen ennakkoratkaisukysymykseen siten, ettei yleisen tietosuoja-asetuksen 17 artiklan 2 kohta ole esteenä sille, että kansallinen valvontaviranomainen määrää luettelojen tarjoajan saattamaan saamansa tietojen poistamista koskevat pyynnöt hakukoneiden tarjoajien tietoon.
VI     Ratkaisuehdotus

80.      Ehdotan näin ollen, että unionin tuomioistuin vastaa Hof van beroep te Brusselin esittämiin ennakkoratkaisukysymyksiin seuraavasti:
1)      Henkilötietojen käsittelystä ja yksityisyyden suojasta sähköisen viestinnän alalla 12.7.2002 annetun Euroopan parlamentin ja neuvoston direktiivin 2002/58/EY (sähköisen viestinnän tietosuojadirektiivi) 12 artiklan 2 kohdan nojalla, luettuna yhdessä sen 2 artiklan f alakohdan ja luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) 95 artiklan kanssa, tilaajan ”suostumus”, sellaisena kuin se on määritelty yleisen tietosuoja-asetuksen 4 artiklan 11 alakohdassa, vaaditaan hänen yhteystietojensa mainitsemiseksi teleoperaattorin ja/tai muiden luettelojen tarjoajien julkaisemissa luetteloissa.
2)      Tilaajan pyyntö tietojensa poistamisesta luetteloista merkitsee yleisen tietosuoja-asetuksen 17 artiklassa säädetyn ”oikeuden tietojen poistamiseen” käyttämistä.
3)      Yleisen tietosuoja-asetuksen 5 artiklan 2 kohdan ja 24 artiklan nojalla kansallinen valvontaviranomainen voi johtaa, että rekisterinpitäjän on toteutettava tarvittavat tekniset ja organisatoriset toimenpiteet ilmoittaakseen kolmansille rekisterinpitäjille, nimittäin teleoperaattorille ja muille luettelojen tarjoajille, jotka ovat vastaanottaneet tietoja ensiksi mainitulta rekisterinpitäjältä, että rekisteröity on peruuttanut suostumuksensa yleisen tietosuoja-asetuksen 6 artiklan, luettuna yhdessä 7 artiklan kanssa, mukaisesti.
4)      Yleisen tietosuoja-asetuksen 17 artiklan 2 kohta ei ole esteenä sille, että kansallinen valvontaviranomainen määrää luettelojen tarjoajan saattamaan saamansa tietojen poistamista koskevat pyynnöt hakukoneiden tarjoajien tietoon.

1      Alkuperäinen kieli: englanti.

2      EUVL 2016 L 119, s. 1; jäljempänä yleinen tietosuoja-asetus. Yleisellä tietosuoja-asetuksella kumottiin ja korvattiin yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annettu Euroopan parlamentin ja neuvoston direktiivi 95/46/EY (EYVL 1995, L 281, s. 31). 

3      EYVL 2002, L 201, s. 37, sellaisena kuin se on viimeksi muutettuna Euroopan parlamentin ja neuvoston direktiivillä 2009/136/EY (EUVL 2009, L 337, s. 11).

4      Yleisen tietosuoja-asetuksen 94 artiklalla kumottiin ja korvattiin direktiivi 95/46/EY. Yleisen tietosuoja-asetuksen 94 artiklan 2 kohdassa säädetään, että viittauksia direktiiviin 95/46/EY pidetään viittauksina yleiseen tietosuoja-asetukseen.

5      EYVL 2002, L 108, s. 33. Ks. direktiivin 2002/58 2 artikla.

6      Belgisch Staatsblad, 20.6.2005; jäljempänä WEC.

7      Tuomio 1.4.2008,  Government of the French Community ja Walloon Government (C-212/06, EU:C:2008:178, 28 kohta); tuomio 22.10.2009, Zurita García ja Choque Cabrera (C-261/08 ja C-348/08, EU:C:2009:648, 34 kohta) ja tuomio 19.11.2009, Filipiak (C-314/08, EU:C:2009:719, 40 kohta).

8      Tuomio 22.10.2009, Zurita García ja Choque Cabrera (C-261/08 ja C-348/08, EU:C:2009:648, 35 kohta).

9      Ks. vastaavasti direktiivin 2002/58 johdanto-osan 39 perustelukappale, jossa selitetään ”uutta suostumusta” koskevaa edellytystä, jos tietoja on tarkoitus käyttää ”muihin tarkoituksiin kuin niihin, joita varten ne on kerätty”.

10      Tuomio 5.5.2011, Deutsche Telekom (C-543/09, EU:C:2011:279, 61–67 kohta).

11      WEC:n 45 §:n 2 momentti ja 46 §:n 2 momentti.

12      WEC:n 45 §:n 3 momentti.

13      Yleisen tietosuoja-asetuksen 4 artiklan 7 kohdan mukaan ”rekisterinpitäjällä” tarkoitetaan luonnollista henkilöä tai oikeushenkilöä, joka määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot. Saman artiklan 2 alakohdan mukaan ”käsittelyllä” tarkoitetaan muun muassa henkilötietojen ”luovuttamista siirtämällä, levittämällä tai asettamalla ne muutoin saataville”.

14      Tai Proximuksen mukaan oikaisemista.

15      Ks. myös yleisen tietosuoja-asetuksen johdanto-osan 66 perustelukappale, joka vahvistaa, että näillä säännöksillä pyritään vahvistamaan oikeutta tulla unohdetuksi verkkoympäristössä. Tätä päätelmää tukee tuomio 24.9.2019, GC ym. (Arkaluonteisten tietojen poistaminen hakutulosten luettelosta) (C-136/17, EU:C:2019:773, 34 ja 35 kohta).

16      Ks. lähemmin: https://www.pure-im.nl/blog/marktaandelen-zoekmachines-q2-2020/.