CELEX: 62007CJ0553
Language: fi
Date: 2009-05-07
Title: Yhteisöjen tuomioistuimen tuomio (kolmas jaosto) 7 päivänä toukokuuta 2009.#College van burgemeester en wethouders van Rotterdam vastaan M. E. E. Rijkeboer.#Ennakkoratkaisupyyntö: Raad van State - Alankomaat.#Yksilöiden suojelu henkilötietojen käsittelyssä - Direktiivi 95/46/EY - Yksityisyyden suoja - Tietojen poistaminen - Tiedonsaantioikeus ja oikeus tiedonsaantiin tietojen vastaajanottajista - Tiedonsaantioikeuden käyttämisen määräaika.#Asia C-553/07.

Asia C-553/07
      College van burgemeester en wethouders van Rotterdam
      vastaan
      E. E. Rijkeboer
      (Raad van Staten esittämä ennakkoratkaisupyyntö)
      Yksilöiden suojelu henkilötietojen käsittelyssä – Direktiivi 95/46/EY – Yksityisyyden suoja – Tietojen poistaminen – Tiedonsaantioikeus ja oikeus saada tietoja henkilötietojen vastaajanottajista – Tiedonsaantioikeuden käyttämisen määräaika
      
      Tuomion tiivistelmä
      Jäsenvaltioiden lainsäädännön lähentäminen – Yksilöiden suojelu henkilötietojen käsittelyssä – Direktiivi 95/46
      (Euroopan parlamentin ja neuvoston direktiivin 95/46 12 artiklan a alakohta)
      Yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta annetun direktiivin 95/46 1
         artiklan 1 kohdassa ilmaistu oikeus yksityisyyden kunnioittamiseen edellyttää, että rekisteröity voi varmistua hänen henkilötietojensa
         käsittelyn paikkansapitävyydestä ja laillisuudesta, eli erityisesti siitä, että häntä koskevat perustiedot ovat paikkansapitäviä
         ja että ne on annettu sallituille vastaanottajille. Kuten direktiivin johdanto-osan 41 perustelukappaleessa on mainittu, rekisteröidyllä
         on oltava oikeus tutustua itseään koskeviin käsiteltäviin tietoihin voidakseen suorittaa tarpeelliset tarkastukset.
      
      Direktiivin 95/46 12 artiklan a alakohdassa velvoitetaan jäsenvaltiot säätämään paitsi nykyisyyteen myös menneeseen aikaan
         kohdistuvasta, vastaanottajia tai vastaanottajaryhmiä sekä luovutettujen tietojen sisältöä koskevasta tiedonsaantioikeudesta.
         Jäsenvaltioiden tehtävänä on asettaa määräaika näiden tietojen säilyttämiselle ja säätää niitä koskevasta vastaavasta tiedonsaantioikeudesta,
         joilla saavutetaan oikea tasapaino yhtäältä intressin, joka rekisteröidyllä on yksityiselämänsä suojaamiseen muun muassa direktiivissä
         säädettyjen puuttumis- ja oikeussuojakeinojen avulla, ja toisaalta sen taakan välillä, jota näiden tietojen säilyttämisvelvollisuus
         merkitsee rekisterinpitäjälle.
      
      Säännöstöllä, jolla henkilötietojen vastaanottajia tai vastaanottajaryhmiä sekä luovutettujen tietojen sisältöä koskevien
         tietojen säilyttäminen rajoitetaan yhteen vuoteen ja jolla rajoitetaan vastaavasti näitä tietoja koskevaa tiedonsaantioikeutta,
         vaikka perustietoja säilytetään paljon pidempään, ei voida saavuttaa kyseessä olevan intressin ja velvollisuuden oikeaa tasapainoa,
         ellei osoiteta, että näiden tietojen pidempi säilyttäminen olisi liiallinen taakka rekisterinpitäjälle. Kansallisen tuomioistuimen
         tehtävänä on suorittaa tarpeelliset tutkimukset.
      
      (ks. 49 ja 70 kohta sekä tuomiolauselma)
YHTEISÖJEN TUOMIOISTUIMEN TUOMIO (kolmas jaosto)
      7 päivänä toukokuuta 2009 (*)
      
      Yksilöiden suojelu henkilötietojen käsittelyssä – Direktiivi 95/46/EY – Yksityisyyden suoja – Tietojen poistaminen – Tiedonsaantioikeus ja oikeus saada tietoja henkilötietojen vastaajanottajista – Tiedonsaantioikeuden käyttämisen määräaika
      Asiassa C‑553/07,
      jossa on kyse EY 234 artiklaan perustuvasta ennakkoratkaisupyynnöstä, jonka Raad van State (Alankomaat) on esittänyt 5.12.2007
         tekemällään päätöksellä, joka on saapunut yhteisöjen tuomioistuimeen 12.12.2007, saadakseen ennakkoratkaisun asiassa
      
      College van burgemeester en wethouders van Rotterdam
      vastaan
      E. E. Rijkeboer,
      
      YHTEISÖJEN TUOMIOISTUIN (kolmas jaosto),
      toimien kokoonpanossa: jaoston puheenjohtaja A. Rosas sekä tuomarit A. Ó Caoimh, J. Klučka, U. Lõhmus ja P. Lindh (esittelevä
         tuomari),
      
      julkisasiamies: D. Ruiz-Jarabo Colomer,
      kirjaaja: johtava hallintovirkamies M. Ferreira,
      ottaen huomioon kirjallisessa käsittelyssä ja 20.11.2008 pidetyssä istunnossa esitetyn,
      ottaen huomioon huomautukset, jotka sille ovat esittäneet
      –        College van burgemeester en wethouders van Rotterdam, edustajanaan advocaat R. de Bree,
      –        E. E. Rijkeboer, edustajanaan juridisch adviseur W. van Bentem,
      –        Alankomaiden hallitus, asiamiehinään C. M. Wissels ja C. ten Dam,
      –        Tšekin hallitus, asiamiehenään M. Smolek,
      –        Kreikan hallitus, asiamiehinään E.-M. Mamouna ja V. Karra,
      –        Espanjan hallitus, asiamiehenään M. Muñoz Pérez,
      –        Yhdistyneen kuningaskunnan hallitus, asiamiehinään Z. Bryanston-Cross ja H. Walker, avustajanaan barrister J. Stratford,
      –        Euroopan yhteisöjen komissio, asiamiehinään R. Troosters ja C. Docksey,
      kuultuaan julkisasiamiehen 22.12.2008 pidetyssä istunnossa esittämän ratkaisuehdotuksen,
      on antanut seuraavan
      tuomion
      1        Ennakkoratkaisupyyntö koskee yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta
         24.10.1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY (EYVL L 281, s. 31; jäljempänä direktiivi) 12 artiklan
         a alakohdan tulkintaa.
      
      2        Tämä pyyntö on esitetty asiassa, jossa vastakkain ovat Rijkeboer ja College van burgemeester en wethouders van Rotterdam (Rotterdamin
         pormestarin ja apulaispormestarien neuvosto, jäljempänä College) ja joka koskee viimeksi mainitun osittaista kieltäytymistä
         antaa Rijkeboerille tietoja hänen tiedonsaantipyyntöään edeltäneiden kahden vuoden aikana tehdyistä hänen henkilötietojensa
         luovutuksista sivullisille.
      
       Asiaa koskevat oikeussäännöt
       Yhteisön säännöstö
      3        Direktiivin johdanto-osan perusoikeuksia ja -vapauksia koskevissa toisessa ja kymmenennessä perustelukappaleessa todetaan,
         että
      
      ”(2)      tietojenkäsittelyjärjestelmät on tehty palvelemaan ihmistä; järjestelmiä käytettäessä on kunnioitettava yksilöiden perusoikeuksia
         ja -vapauksia heidän kansalaisuudestaan tai asuinpaikastaan riippumatta, erityisesti oikeutta yksityisyyteen, ja osallistuttava
         taloudelliseen ja sosiaaliseen kehitykseen, kaupan kehittämiseen sekä yksilöiden hyvinvoinnin lisäämiseen,
      
      – –
      (10)      henkilötietojen käsittelyä koskevien kansallisten lainsäädäntöjen tavoitteena on taata perusoikeuksien ja -vapauksien kunnioittaminen,
         erityisesti yksityisyyttä koskevan oikeuden kunnioittaminen, joka tunnustetaan myös ihmisoikeuksien ja perusvapauksien suojaamiseksi
         tehdyn Euroopan yleissopimuksen 8 artiklassa ja yhteisön oikeuden yleisissä periaatteissa – –”.
      
      4        Direktiivin johdanto-osan 25 perustelukappaleen mukaan tietosuojan periaatteiden on ilmettävä yhtäältä tietoja käsittelevien
         niissä velvoitteissa, jotka koskevat erityisesti tietojen laatua, ja toisaalta rekisteröityjen oikeudessa saada tieto käsittelystä
         sekä mahdollisuudessa tutustua tietoihin ja pyytää niiden oikaisua, jopa vastustaa käsittelyä tietyissä olosuhteissa.
      
      5        Direktiivin johdanto-osan 40 perustelukappaleessa, joka koskee velvollisuutta ilmoittaa rekisteröidylle silloin, kun tietoja
         ei ole saatu häneltä, todetaan, että tätä velvoitetta ei edellytetä, jos tämä ilmoittaminen osoittautuu mahdottomaksi tai
         jos siitä aiheutuisi kohtuutonta vaivaa; tässä suhteessa voidaan ottaa huomioon rekisteröityjen määrä, tietojen ikä sekä mahdolliset
         korvaavat toimenpiteet.
      
      6        Direktiivin johdanto-osan 41 perustelukappaleen mukaan kenellä tahansa henkilöllä on oltava oikeus tutustua itseään koskeviin
         käsiteltäviin tietoihin voidakseen varmistua erityisesti tietojen paikkansapitävyydestä ja niiden käsittelyn laillisuudesta.
      
      7        Direktiivin 1 artiklassa, jonka otsikko on ”Direktiivin tavoite”, säädetään seuraavaa:
      
      ”1.      Tämän direktiivin mukaisesti jäsenvaltioiden on henkilötietojen käsittelyssä turvattava yksilöille heidän perusoikeutensa
         ja -vapautensa ja erityisesti heidän oikeutensa yksityisyyteen.
      
      2.      Jäsenvaltiot eivät voi rajoittaa tai kieltää henkilötietojen vapaata liikkuvuutta jäsenvaltioiden välillä syistä, jotka liittyvät
         1 kohdan mukaisesti turvattavaan suojaan.”
      
      8        ”Henkilötietojen” käsite on määritelty direktiivin 2 artiklan a alakohdassa siten, että niillä tarkoitetaan kaikenlaisia tunnistettua
         tai tunnistettavissa olevaa luonnollista henkilöä (rekisteröity) koskevia tietoja.
      
      9        ”Henkilötietojen käsittelyllä” tarkoitetaan direktiivin 2 artiklan b alakohdan mukaan
      
      ”kaikenlaisia sellaisia toimintoja tai toimintojen kokonaisuuksia, joita kohdistetaan henkilötietoihin joko automaattisen
         tietojenkäsittelyn avulla tai manuaalisesti, kuten tietojen kerääminen, tallentaminen, järjestäminen, säilyttäminen, muokkaaminen
         tai muuttaminen, tiedon haku, kysely, käyttö, luovuttaminen siirtämällä, levittämällä tai asettamalla muutoin saataville,
         yhteensovittaminen tai yhdistäminen sekä suojaaminen, poistaminen tai tuhoaminen”.
      
      10      Direktiivin 2 artiklan d alakohdan mukaan ”rekisterinpitäjä” on luonnollinen henkilö tai oikeushenkilö, julkinen viranomainen,
         virasto tai muu toimielin, joka, yksin tai yhdessä toisten kanssa, määrittelee henkilötietojen käsittelyn tarkoituksen ja
         keinot.
      
      11      Direktiivin 2 artiklan g alakohdassa määritellään ”vastaanottaja” luonnolliseksi henkilöksi tai oikeushenkilöksi, julkiseksi
         viranomaiseksi, virastoksi tai muuksi toimielimeksi, jolle tietoja luovutetaan, oli kyseessä direktiivin 2 artiklan f alakohdassa
         määritelty sivullinen tai ei.
      
      12      Direktiivin 6 artiklassa ilmaistaan tietojen laatua koskevat periaatteet. Sen 1 kohdan e alakohdassa säädetään tietojen säilyttämisen
         osalta, että jäsenvaltiot säätävät, että ”henkilötiedot säilytetään muodossa, josta rekisteröity on tunnistettavissa ainoastaan
         sen ajan, kuin on tarpeen niiden tarkoitusten toteuttamista varten, joita varten tiedot kerättiin tai joissa niitä myöhemmin
         käsitellään. Jäsenvaltiot toteuttavat niiden henkilötietojen tarpeelliset suojatoimet, joita säilytetään edellä tarkoitettua
         aikaa kauemmin historiantutkimusta taikka tilastollisia tai tieteellisiä tarkoituksia varten”.
      
      13      Direktiivin 10 ja 11 artiklassa säädetään niistä tiedoista, jotka rekisterinpitäjän tai hänen edustajansa on toimitettava
         rekisteröidylle siinä tapauksessa, että tietoja kerätään rekisteröidyltä, tai siinä tapauksessa, että niitä ei ole kerätty
         häneltä.
      
      14      Direktiivin 12 artiklassa, jonka otsikko on ”Tiedonsaantioikeus”, säädetään seuraavaa:
      
      ”Jäsenvaltioiden on taattava rekisteröidylle oikeus saada rekisterinpitäjältä:
      a)      vapaasti, kohtuullisin väliajoin ja ilman aiheetonta viivytystä tai aiheettomia kustannuksia:
      –        vahvistus siitä, käsitelläänkö häntä koskevia tietoja vai ei, sekä vähintään tiedot käsittelyn tarkoituksista, käsiteltävistä
         tietoryhmistä ja tietojen vastaanottajista tai vastaanottajaryhmistä, joille tiedot luovutetaan,
      
      –        käsiteltävät tiedot itselleen ymmärrettävässä muodossa sekä kaikki tietojen alkuperästä käytettävissä olevat tiedot,
      –        tiedot kyseessä olevien tietojen automaattiseen käsittelyyn liittyvästä logiikasta, ainakin 15 artiklan 1 kohdassa tarkoitettujen
         automatisoitujen päätösten ollessa kyseessä;
      
      b)      tapauskohtaisesti, sellaiset tiedot oikaistuiksi, poistetuiksi tai suojatuiksi, joiden käsittely ei ole tämän direktiivin
         mukaista, erityisesti tietojen puutteellisen tai virheellisen luonteen vuoksi;
      
      c)      ilmoitus sivullisille, joille tietoja on luovutettu, kaikenlaisista b alakohdan mukaisesti tehdyistä oikaisuista, poistamisista
         tai suojaamisista, paitsi jos tämä osoittautuu mahdottomaksi tai vaatii kohtuutonta vaivaa.”
      
      15      Direktiivin 13 artiklan, jonka otsikko on ”Poikkeukset ja rajoitukset”, 1 kohdassa annetaan jäsenvaltioille oikeus poiketa
         muun muassa sen 6 ja 12 artiklan säännöksistä, jos se on välttämätöntä tiettyjen yleisten etujen, joiden joukossa ovat valtion
         turvallisuus, puolustus, syyteharkinta sekä muita etuja, kuten rekisteröidyn suojelu tai muiden oikeudet ja vapaudet, varmistamiseksi.
      
      16      Direktiivin 14 artiklassa säädetään, että jäsenvaltioiden on turvattava rekisteröidylle oikeus tietyissä tilanteissa vastustaa
         itseään koskevien tietojen käsittelyä.
      
      17      Direktiivin 17 artiklan 1 kohdan toisen alakohdan mukaan jäsenvaltioiden on säädettävä siitä, että rekisterinpitäjän on toteutettava
         tarpeelliset tekniset ja organisatoriset toimenpiteet, joilla on kehityksen taso ja toimenpiteiden kustannukset huomioon ottaen
         taattava asianmukainen turvallisuuden taso suhteessa käsittelyn riskeihin ja suojattavien tietojen luonteeseen.
      
      18      Direktiivin 22 artiklan ja 23 artiklan 1 kohdan mukaan jäsenvaltioiden on säädettävä siitä, että kenellä tahansa henkilöllä
         on mahdollisuus käyttää oikeussuojakeinoa, jos kyseessä olevaan käsittelyyn sovellettavien kansallisten säännösten mukaisesti
         hänelle kuuluvia oikeuksia loukataan ja että jos kenelle tahansa henkilölle aiheutuu vahinkoa laittomasta käsittelystä tai
         minkä tahansa toiminnan yhteensopimattomuudesta tämän direktiivin mukaisesti toteutettujen kansallisten toimenpiteiden kanssa,
         hänellä on oikeus saada rekisterinpitäjältä korvaus aiheutuneesta vahingosta.
      
       Kansallinen säännöstö
      19      Direktiivi on pantu Alankomaiden oikeudessa täytäntöön yleissäädöksellä, lailla henkilötietojen suojelusta (Wet bescherming
         persoonsgegevens). Lisäksi erityislakeja on mukautettu direktiivin noudattamiseksi. Pääasiassa kyseessä oleva kunnallisesta
         henkilötietojen perusrekisteristä annettu laki (Wet gemeentelijke basisadministratie persoonsgegevens; Stbl. 1994, nro 494;
         jäljempänä Wet GBA) on tällainen.
      
      20      Wet GBA:n 103 §:n 1 momentissa säädetään, että pormestarin ja apulaispormestarien neuvosto ilmoittaa rekisteröidylle kirjallisesti
         neljän viikon määräajassa tämän hakemuksesta, onko häntä koskevia kunnallisesta rekisteristä peräisin olevia tietoja luovutettu
         hakemusta edeltävän vuoden kuluessa viranomaiselle tai sivulliselle.
      
      21      Wet GBA:n 110 §:n mukaan pormestarin ja apulaispormestarien neuvosto säilyttää maininnan tästä luovutuksesta tietojen luovuttamista
         seuraavan vuoden ajan, ellei tämä luovutus ilmene muulla tavalla tietokannasta.
      
      22      Collegen kirjallisista huomautuksista ilmenee, että kunnan säilyttämät tiedot koskevat muun muassa nimeä, syntymäaikaa, hallinnollista
         tunnusta, sosiaali- ja verotunnusta, rekisterikuntaa, osoitetta ja kuntaan rekisteröitymispäivää, siviilisäätyä, holhoussuhteita,
         alaikäisten huoltajuutta, kansalaisuutta ja ulkomaalaisten oleskeluoikeutta.
      
       Pääasia ja ennakkoratkaisukysymys
      23      Rijkeboer vaati 26.10.2005 päivätyllä kirjeellä Collegea ilmoittamaan hänelle kaikista niistä tapauksista, joissa häntä koskevia
         kunnallisesta rekisteristä peräisin olevia tietoja oli hänen hakemustaan edeltäneiden kahden vuoden kuluessa luovutettu sivullisille.
         Hän halusi tietää näiden henkilöiden henkilöllisyyden ja heille välitettyjen tietojen sisällön. Rijkeboer, joka oli muuttanut
         toiseen kuntaan, halusi tietää erityisesti, kenelle hänen aikaisempi osoitteensa oli luovutettu.
      
      24      College hyväksyi 27.10.2005 ja 29.11.2005 tekemillään päätöksillä tämän vaatimuksen vain osittain ja antoi hänelle Wet GBA:n
         103 §:n 1 momentin mukaisesti vain hänen hakemustaan edeltänyttä vuoden jaksoa koskevat tiedot.
      
      25      Tietojen luovutukset on kirjattu ”Logisch Ontwerp GBA:n” avulla. Se on Ministerie van Binnenlandse Zaken en Koninkrijkrelatiesin
         (Alankomaiden sisäasiain ja kuningaskunta-asiain ministeriö) luoma automatisoitu järjestelmä. Ennakkoratkaisupyynnön esittämistä
         koskevasta päätöksestä ilmenee, että Rijkeboerin vaatimat tiedot, jotka olivat hakemuksesta laskettuna yli vuoden vanhoja,
         oli poistettu automaattisesti, mikä oli Wet GBA:n 110 §:n säännösten mukaista.
      
      26      Rijkeboer esitti Collegelle oikaisuvaatimuksen tämän kieltäytymisestä antaa hänelle tietoja vastaanottajista, joille oli luovutettu
         häntä koskevia tietoja ennen kuin hakemuksentekoa edeltävä vuoden ajanjakso oli alkanut. Koska tämä oikaisuvaatimus hylättiin
         13.2.2006 tehdyllä päätöksellä, Rijkeboer nosti kanteen Rechtbank Rotterdamissa.
      
      27      Tämä tuomioistuin hyväksyi kanteen ja katsoi, että vastaanottajille luovutettuja tietoja koskevan tiedonsaantioikeuden rajoittaminen
         hakemusta edeltävään vuoteen, kuten Wet GBA:n 103 §:n 1 momentissa on säädetty, ei ole sopusoinnussa direktiivin 12 artiklan
         kanssa. Se katsoi myös, että tämän direktiivin 13 artiklassa tarkoitettuja poikkeuksia ei voida soveltaa.
      
      28      College valitti tästä tuomiosta Raad van Stateen. Tämä tuomioistuin on todennut, että tiedonsaantioikeutta koskevassa tämän
         direktiivin 12 artiklassa ei aseteta mitään määräaikaa, jossa tätä oikeutta on voitava käyttää. Sen mukaan tässä artiklassa
         ei kuitenkaan välttämättä kielletä kansallista lainsäätäjää rajoittamasta ajallisesti rekisteröidyn oikeutta saada tietoja
         vastaanottajista, joille hänen henkilötietojaan on luovutettu, mutta se on epävarma tästä asiasta.
      
      29      Tässä tilanteessa Raad van State on päättänyt lykätä ratkaisun antamista asiassa ja esittää yhteisöjen tuomioistuimelle seuraavan
         ennakkoratkaisukysymyksen:
      
      ”Onko laissa säädetty rajoitus, jonka mukaan tiedot annetaan tietojen saamiseksi esitettyä hakemusta edeltävän yhden vuoden
         ajalta – – direktiivin – – 12 artiklan a alakohdan, mahdollisesti luettuna yhdessä tämän direktiivin 6 artiklan 1 kohdan e
         alakohdan kanssa, ja suhteellisuusperiaatteen mukainen?”
      
       Ennakkoratkaisukysymyksen tarkastelu
      30      Aluksi on huomattava, että EY 234 artiklalla käyttöön otetussa tuomioistuinten yhteistyötä koskevassa järjestelmässä yhteisöjen
         tuomioistuimen tehtävänä on tulkita yhteisön oikeussääntöjä. Kansallisten oikeussääntöjen osalta tulkinta kuuluu kansallisille
         tuomioistuimille (ks. asia C-449/06, Gysen, tuomio 14.2.2008, Kok., s. I‑553, 17 kohta).
      
      31      Näin ollen ennakkoratkaisupyynnön esittäneen tuomioistuimen kysymys on ymmärrettävä siten, että sillä pyritään pääasiallisesti
         selvittämään, voidaanko henkilön oikeus saada tietoja häntä koskevien henkilötietojen vastaanottajista tai vastaanottajaryhmistä
         sekä luovutettujen tietojen sisällöstä direktiivin, erityisesti sen 12 artiklan a alakohdan, mukaan rajoittaa hänen tiedonsaantihakemustaan
         edeltävään vuoden jaksoon.
      
      32      Tämä tuomioistuin korostaa kahta direktiivin säännöstä, nimittäin henkilötietojen säilyttämistä koskevaa 6 artiklan 1 kohdan
         e alakohtaa ja oikeutta saada tietoa näistä tiedoista koskevaa 12 artiklan a alakohtaa. Sen sijaan tämä tuomioistuin tai kukaan
         muukaan yhteisöjen tuomioistuimelle huomautuksia esittäneistä osapuolista ei ole vedonnut direktiivin 13 artiklassa mainittuihin
         poikkeuksiin.
      
      33      Direktiivin 6 artikla koskee tietojen laatua. Sen 1 kohdan e alakohdassa jäsenvaltiot velvoitetaan säätämään, että henkilötiedot
         säilytetään ainoastaan sen ajan, kuin on tarpeen niiden tarkoitusten toteuttamista varten, joita varten tiedot kerättiin tai
         joissa niitä myöhemmin käsitellään. Tiedot on siten hävitettävä, kun nämä tarkoitukset on toteutettu.
      
      34      Direktiivin 12 artiklan a alakohdassa säädetään, että jäsenvaltiot antavat rekisteröidylle hänen henkilötietojaan sekä näiden
         tietojen vastaanottajia tai vastaanottajaryhmiä koskevan tiedonsaantioikeuden, mutta ei ilmoiteta tätä koskevaa määräaikaa.
      
      35      Näillä kahdella artiklalla pyritään siis suojaamaan rekisteröityä. Ennakkoratkaisupyynnön esittänyt tuomioistuin haluaa tietää,
         onko näiden kahden artiklan välillä yhteys siten, että oikeus saada tietoa henkilötietojen vastaanottajista tai vastaanottajaryhmistä
         sekä luovutettujen tietojen sisällöstä voisi riippua näiden tietojen säilyttämisen kestosta.
      
      36      Yhteisöjen tuomioistuimelle esitetyt huomautukset osoittavat, että näiden kahden säännöksen välisestä vuorovaikutuksesta on
         erilaisia näkemyksiä.
      
      37      College sekä Alankomaiden, Tšekin, Espanjan ja Yhdistyneen kuningaskunnan hallitukset väittävät, että direktiivin 12 artiklan
         a alakohdassa tarkoitettu tietojen vastaanottajia tai vastaanottajaryhmiä koskeva tiedonsaantioikeus on olemassa vain nykyhetken
         eikä menneen ajan osalta. Kun tiedot on kansallisen säännöstön mukaisesti poistettu, rekisteröity ei voi enää saada niistä
         tietoa. Tämä seuraus ei niiden mukaan ole direktiivin vastainen.
      
      38      College ja Alankomaiden hallitus esittävät siten, että Wet GBA:n 103 §:n 1 momentti, jonka mukaan kunta ilmoittaa rekisteröidylle
         hänen tätä koskevasta hakemuksestaan, onko henkilötietoja luovutettu vastaanottajille hänen hakemustaan edeltävän vuoden kuluessa,
         menee direktiivissä asetettuja vaatimuksia pidemmälle.
      
      39      Komissio ja Kreikan hallitus väittävät omalta osaltaan, että direktiivissä ei säädetä vain nykyhetkeä vaan myös tiedonsaantihakemusta
         edeltävää ajanjaksoa koskevasta tiedonsaantioikeudesta. Niiden näkemykset eroavat kuitenkin toisistaan tämän tiedonsaantioikeuden
         tarkan keston osalta.
      
      40      Direktiivillä mahdollistettavan tiedonsaantioikeuden ulottuvuuden arvioimiseksi on aluksi määritettävä ne tiedot, joita tiedonsaantioikeus
         koskee, ja tutkittava sitten direktiivin 12 artiklan a alakohdan tarkoitusta direktiivin tavoitteiden valossa.
      
      41      Rijkeboerin tapauksen kaltaisessa tilanteessa esiin nousee kaksi tietoryhmää.
      
      42      Ensimmäinen käsittää kunnan hallussa olevat henkilöä koskevat tiedot, kuten hänen nimensä ja osoitteensa, jotka käsiteltävänä
         olevassa tapauksessa muodostavat perustiedot. Collegen ja Alankomaiden hallituksen esittämistä suullisista huomautuksista
         ilmenee, että nämä tiedot voidaan säilyttää pitkään. Ne ovat direktiivin 2 artiklan a alakohdassa tarkoitettuja ”henkilötietoja”,
         koska kyse on tunnistettua tai tunnistettavissa olevaa luonnollista henkilöä koskevista tiedoista (ks. vastaavasti yhdistetyt
         asiat C‑465/00, C‑138/01 ja C‑139/01, Österreichischer Rundfunk ym., tuomio 20.5.2003, Kok., s. I‑4989, 64 kohta; asia  C‑101/01,
         Lindqvist, tuomio 6.11.2007, Kok., s. I‑12971, 24 kohta ja asia C-524/06, Huber, tuomio 16.12.2008, 43 kohta, ei vielä julkaistu
         oikeustapauskokoelmassa).
      
      43      Toinen ryhmä liittyy tietoihin niistä vastaanottajista tai vastaanottajaryhmistä, joille näitä perustietoja on luovutettu,
         sekä luovutettujen perustietojen sisältöön, ja se koskee siten perustietojen käsittelyä. Pääasiassa kyseessä olevan kansallisen
         lainsäädännön mukaisesti näitä tietoja säilytetään vain vuoden ajan.
      
      44      Henkilötietojen vastaanottajia tai vastaanottajaryhmiä sekä luovutettujen tietojen sisältöä koskevan tiedonsaantioikeuden
         ajallinen rajoittaminen, josta pääasiassa on kysymys, koskee näin ollen tätä toista tietojen ryhmää. 
      
      45      Sen ratkaisemiseksi, mahdollistetaanko direktiivin 12 artiklan a alakohdassa tällainen ajallinen rajoittaminen, tätä artiklaa
         on tulkittava sen direktiivin tavoitteiden valossa tutkitun tarkoituksen mukaan.
      
      46      Direktiivin 1 artiklan mukaan sen tavoitteena on suojata yksilöiden perusoikeuksia ja -vapauksia, erityisesti heidän oikeuttaan
         yksityisyyteen, henkilötietojen käsittelyssä ja mahdollistaa näin näiden tietojen vapaa liikkuvuus jäsenvaltioiden välillä.
         
      
      47      Yksityisyyden suojaamisen tärkeyttä on korostettu direktiivin johdanto-osan toisessa ja kymmenennessä perustelukappaleessa
         ja yhteisöjen tuomioistuimen oikeuskäytännössä (ks. vastaavasti em. yhdistetyt asiat Österreichischer Rundfunk ym., tuomion
         70 kohta; em. asia Lindqvist, tuomion 97 ja 99 kohta; asia C‑275/06, Promusicae, tuomio 29.1.2008, Kok., s. I‑271, 63 kohta
         ja asia C‑73/07, Satakunnan Markkinapörssi ja Satamedia, tuomio 16.12.2008, 52 kohta, ei vielä julkaistu oikeustapauskokoelmassa).
         
      
      48      Direktiivin johdanto-osan 25 perustelukappaleesta ilmenee, että tämän suojelun on ilmettävä yhtäältä tietoja käsittelevien
         velvoitteissa, jotka koskevat muun muassa direktiivin 6 artiklan kohteena olevaa tietojen laatua, ja toisaalta niille henkilöille,
         joita koskevia tietoja käsitellään, annetussa oikeudessa saada tieto tästä, tutustua tietoihin ja pyytää niiden oikaisua tai
         jopa vastustaa niiden käsittelyä tietyissä olosuhteissa.
      
      49      Tämä oikeus yksityisyyden kunnioittamiseen edellyttää, että rekisteröity voi varmistua hänen henkilötietojensa käsittelyn
         paikkansapitävyydestä ja laillisuudesta, eli erityisesti siitä, että häntä koskevat perustiedot ovat paikkansapitäviä ja että
         ne on annettu sallituille vastaanottajille. Kuten direktiivin johdanto-osan 41 perustelukappaleessa on mainittu, rekisteröidyllä
         on oltava oikeus tutustua itseään koskeviin käsiteltäviin tietoihin voidakseen suorittaa tarpeelliset tarkastukset.
      
      50      Tältä osin direktiivin 12 artiklan a alakohdassa säädetään perustietoja sekä niitä vastaanottajia tai vastaanottajaryhmiä,
         joille tiedot luovutetaan, koskevasta tiedonsaantioikeudesta.
      
      51      Tämä tiedonsaantioikeus on välttämätön, jotta rekisteröity voi käyttää direktiivin 12 artiklan b ja c alakohdassa tarkoitettuja
         oikeuksiaan, eli saada tietoja käsittelevä oikaisemaan, poistamaan tai suojaamaan hänen tietonsa siinä tapauksessa, että hänen
         tietojensa käsittely ei ole direktiivin mukaista (b alakohta), tai ilmoittamaan sivullisille, joille tietoja on luovutettu,
         näistä oikaisuista, poistamisista tai suojaamisista, paitsi jos tämä osoittautuu mahdottomaksi tai vaatii kohtuutonta vaivaa
         (c alakohta).
      
      52      Tämä tiedonsaantioikeus on myös välttämätön, jotta rekisteröity voi käyttää oikeuttaan vastustaa henkilötietojensa käsittelyä
         direktiivin 14 artiklassa tarkoitetulla tavalla tai käyttää sen 22 ja 23 artiklassa säädettyjä oikeussuojakeinoja kärsityn
         vahingon tapauksessa.
      
      53      Direktiivissä ei täsmennetä perustietojen vastaanottajia tai vastaanottajaryhmiä sekä luovutettujen tietojen sisältöä koskevan
         tiedonsaantioikeuden osalta sitä, koskeeko tämä oikeus mennyttä aikaa, ja jos koskee, niin mitä mahdollista menneen ajan ajanjaksoa.
      
      54      Tältä osin on todettava, että tämän tuomion 51 ja 52 kohdassa tarkoitettujen säännösten tehokkaan vaikutuksen varmistamiseksi
         tämän oikeuden on välttämättä koskettava mennyttä aikaa. Jos näin ei olisi, rekisteröity ei voisi tehokkaalla tavalla käyttää
         oikeuttaan saada laittomiksi tai paikkansapitämättömiksi oletettuja tietoja oikaistuksi, poistetuksi tai suojatuksi tai käyttää
         oikeussuojakeinoa ja saada korvausta kärsimästään vahingosta.
      
      55      Ratkaistava kysymys koskee sitä, mikä on tämän oikeuden ulottuvuus menneessä ajassa.
      
      56      Yhteisöjen tuomioistuin on jo todennut, että direktiivin säännökset ovat suhteellisen yleisiä, koska niitä on voitava soveltaa
         suureen määrään hyvin erilaisia tilanteita, ja että direktiivissä on sääntöjä, jotka ovat luonteeltaan joustavia, ja jäsenvaltioille
         jätetään useissa tapauksissa valta määrätä yksityiskohdista tai valita eri vaihtoehtojen välillä (ks. em. asia Lindqvist,
         tuomion 83 kohta). Yhteisöjen tuomioistuin on näin todennut, että jäsenvaltioilla on monessa suhteessa käytettävissään harkintavaltaa
         direktiivin täytäntöön panemiseksi (ks. em. asia Lindqvist, tuomion 84 kohta). Tämä harkintavalta, jota direktiivin 12 artiklan
         a alakohdan täytäntöönpano ilmentää, ei ole kuitenkaan rajoittamaton.
      
      57      Määräajan asettamisen henkilötietojen vastaanottajia tai vastaanottajaryhmiä sekä luovutettujen tietojen sisältöä koskevalle
         tiedonsaantioikeudelle on mahdollistettava se, että rekisteröity käyttää erilaisia direktiivissä säädettyjä ja tämän tuomion
         51 ja 52 kohdassa mainittuja oikeuksia. 
      
      58      Perustietojen säilyttämisen kesto voi olla hyödyllinen muuttuja, mutta se ei ole kuitenkaan ratkaiseva.
      
      59      Direktiivin soveltamisala on erittäin laaja, kuten yhteisöjen tuomioistuin on aikaisemmin todennut (ks. em. yhdistetyt asiat
         Österreichischer Rundfunk ym., tuomion 43 kohta ja em. asia Lindqvist, tuomion 88 kohta), ja direktiivissä tarkoitetut henkilötiedot
         ovat erilaisia. Henkilötietojen säilytysaika, joka direktiivin 6 artiklan 1 kohdan e alakohdan mukaan määritetään sen tarkoituksen
         perusteella, jota varten tiedot kerättiin tai joita varten niitä myöhemmin käsitellään, voi siten vaihdella. Kun perustietojen
         säilytysaika on hyvin pitkä, rekisteröidyn intressi käyttää tämän tuomion 57 kohdassa mainittuja puuttumis- ja oikeussuojakeinoja
         voi joissakin tapauksissa pienentyä. Jos esimerkiksi kyseessä olevia vastaanottajia on runsaasti tai rajatummalle vastaanottajamäärälle
         luovutetaan erittäin usein tietoja, velvoite säilyttää henkilötietojen vastaanottajia tai vastaanottajaryhmiä sekä luovutettujen
         tietojen sisältöä koskevia tietoja yhtä pitkään voisi olla liiallinen taakka rekisterinpitäjälle.
      
      60      Direktiivissä ei edellytetä jäsenvaltioilta, että ne asettavat tällaisia taakkoja rekisterinpitäjälle.
      
      61      Niinpä direktiivin 12 artiklan c alakohdassa säädetään nimenomaisesti varauksesta rekisterinpitäjän velvollisuuteen ilmoittaa
         sivullisille, joille tietoja on luovutettu, oikaisuista, poistamisista tai suojaamisista, eli tätä velvollisuutta ei ole silloin,
         kun tämä osoittautuu mahdottomaksi tai vaatii kohtuutonta vaivaa.
      
      62      Direktiivin muiden osien mukaan voidaan ottaa huomioon kohtuuton vaiva, jota tietyt toimenpiteet voivat merkitä. Direktiivin
         johdanto-osan 40 perustelukappaleessa todetaan rekisteröidylle ilmoittamista koskevan velvoitteen osalta, että rekisteröityjen
         määrä sekä tietojen ikä voidaan ottaa huomioon. Lisäksi jäsenvaltioiden on käsittelyn turvallisuutta koskevan direktiivin
         17 artiklan mukaan säädettävä siitä, että rekisterinpitäjän on toteutettava tarpeelliset tekniset ja organisatoriset toimenpiteet,
         joilla varmistetaan asianmukainen turvallisuuden taso, kun otetaan huomioon käsittelyn riskit ja suojattavien tietojen luonne
         sekä kehityksen taso ja toimenpiteiden kustannukset.
      
      63      Vastaava arviointi soveltuu määräajan asettamiseen henkilötietojen vastaanottajia tai vastaanottajaryhmiä sekä luovutettujen
         tietojen sisältöä koskevalle tiedonsaantioikeudelle. Tämän tuomion 57 kohdassa esitetyn näkökohdan lisäksi jäsenvaltiot voivat
         siten ottaa huomioon useita muuttujia, muun muassa oikeussuojakeinojen käyttämisen määräaikaan sovellettavat kansallisen oikeuden
         säännökset, perustietojen arkaluonteisuus, näiden tietojen säilytysaika ja kyseessä olevien vastaanottajien määrä.
      
      64      Jäsenvaltioiden tehtävänä on näin ollen asettaa määräaika henkilötietojen vastaanottajia tai vastaanottajaryhmiä sekä luovutettujen
         tietojen sisältöä koskevien tietojen säilyttämiselle ja säätää näitä tietoja koskevasta tiedonsaantioikeudesta, joilla saavutetaan
         oikea tasapaino yhtäältä intressin, joka rekisteröidyllä on yksityiselämänsä suojaamiseen muun muassa sellaisten tietojen,
         joiden käsittely ei ole direktiivin mukaista, oikaisemista, poistamista tai suojaamista koskevien oikeuksien sekä vastustus-
         ja kanneoikeuden avulla, ja toisaalta sen taakan välillä, jota näiden tietojen säilyttämisvelvollisuus merkitsee rekisterinpitäjälle.
      
      65      Lisäksi tämän määräajan asettamisessa on myös otettava huomioon direktiivin 6 artiklan e alakohdasta johtuvat velvoitteet
         säätää, että henkilötiedot säilytetään muodossa, josta rekisteröidyt ovat tunnistettavissa, ainoastaan sen ajan kuin on tarpeen
         niiden tarkoitusten toteuttamista varten, joita varten tiedot kerättiin tai joissa niitä myöhemmin käsitellään.
      
      66      Käsiteltävänä olevassa asiassa säännöstöllä, jolla henkilötietojen vastaanottajia tai vastaanottajaryhmiä sekä luovutettujen
         tietojen sisältöä koskevien tietojen säilyttäminen rajoitetaan yhteen vuoteen ja jolla rajoitetaan vastaavasti näitä tietoja
         koskevaa tiedonsaantioikeutta, vaikka perustietoja säilytetään paljon pidempään, ei saavuteta kyseessä olevan intressin ja
         velvollisuuden oikeaa tasapainoa, ellei osoiteta, että näiden tietojen pidempi säilyttäminen olisi liiallinen taakka rekisterinpitäjälle.
         Joka tapauksessa tarpeellisten tutkimusten suorittaminen edellisissä kohdissa esitettyjen näkökohtien valossa on kansallisen
         tuomioistuimen tehtävä.
      
      67      Edellä esitetyn perusteella tiettyjen jäsenvaltioiden väitettä, jonka mukaan direktiivin 10 ja 11 artiklan soveltaminen tekisi
         tarpeettomaksi menneeseen aikaan kohdistuvan, direktiivin 12 artiklan a alakohdassa tarkoitetun vastaanottajia tai vastaanottajaryhmiä
         koskevan tiedonsaantioikeuden, ei voida hyväksyä. 
      
      68      On todettava, että näissä 10 ja 11 artiklassa rekisterinpitäjälle tai hänen edustajalleen asetetaan velvollisuus antaa rekisteröidylle
         tietyin edellytyksin tieto muun muassa tietojen vastaanottajista tai vastaanottajaryhmistä. Rekisterinpitäjän tai hänen edustajansa
         on itse annettava rekisteröidylle nämä tiedot erityisesti tietoja kerättäessä tai, jos tietoja ei ole kerätty suoraan tältä
         henkilöltä, tietoja rekisteröitäessä tai mahdollisesti silloin, kun näitä tietoja luovutetaan sivulliselle.
      
      69      Näillä säännöksillä asetetaan näin ollen direktiivin 12 artiklan a alakohdasta johtuvista velvoitteista poikkeavia velvoitteita.
         Siten niillä ei lievennetä mitenkään jäsenvaltioille asetettua velvollisuutta säätää, että rekisterinpitäjän on annettava
         rekisteröidylle vastaanottajia tai vastaanottajaryhmiä sekä luovutettuja tietoja koskevia tietoja, jos tämä henkilö päättää
         käyttää hänelle tämän 12 artiklan a alakohdan perusteella annettua tiedonsaantioikeutta. Jäsenvaltioiden on säädettävä toimenpiteistä,
         joilla pannaan täytäntöön yhtäältä direktiivin 10 ja 11 artiklan säännökset tiedonantovelvollisuudesta ja toisaalta direktiivin
         12 artiklan a alakohdan säännökset, ensimmäisten voimatta lieventää toisista johtuvia velvoitteita.
      
      70      Näin ollen esitettyyn kysymykseen on vastattava seuraavalla tavalla: 
      
      –        Direktiivin 12 artiklan a alakohdassa velvoitetaan jäsenvaltiot säätämään paitsi nykyisyyteen myös menneeseen aikaan kohdistuvasta,
         vastaanottajia tai vastaanottajaryhmiä sekä luovutettujen tietojen sisältöä koskevasta tiedonsaantioikeudesta. Jäsenvaltioiden
         tehtävänä on asettaa määräaika näiden tietojen säilyttämiselle ja säätää niitä koskevasta vastaavasta tiedonsaantioikeudesta,
         joilla saavutetaan oikea tasapaino yhtäältä intressin, joka rekisteröidyllä on yksityiselämänsä suojaamiseen muun muassa direktiivissä
         säädettyjen puuttumis- ja oikeussuojakeinojen avulla, ja toisaalta sen taakan välillä, jota näiden tietojen säilyttämisvelvollisuus
         merkitsee rekisterinpitäjälle.
      
      –        Säännöstöllä, jolla henkilötietojen vastaanottajia tai vastaanottajaryhmiä sekä luovutettujen tietojen sisältöä koskevien
         tietojen säilyttäminen rajoitetaan yhteen vuoteen ja jolla rajoitetaan vastaavasti näitä tietoja koskevaa tiedonsaantioikeutta,
         vaikka perustietoja säilytetään paljon pidempään, ei voida saavuttaa kyseessä olevan intressin ja velvollisuuden oikeaa tasapainoa,
         ellei osoiteta, että näiden tietojen pidempi säilyttäminen olisi liiallinen taakka rekisterinpitäjälle. Kansallisen tuomioistuimen
         tehtävänä on suorittaa tarpeelliset tutkimukset.
      
       Oikeudenkäyntikulut
      71      Pääasian asianosaisten osalta asian käsittely yhteisöjen tuomioistuimessa on välivaihe kansallisessa tuomioistuimessa vireillä
         olevan asian käsittelyssä, minkä vuoksi kansallisen tuomioistuimen asiana on päättää oikeudenkäyntikulujen korvaamisesta.
         Oikeudenkäyntikuluja, jotka ovat aiheutuneet muille kuin näille asianosaisille huomautusten esittämisestä yhteisöjen tuomioistuimelle,
         ei voida määrätä korvattaviksi.
      
      Näillä perusteilla yhteisöjen tuomioistuin (kolmas jaosto) on ratkaissut asian seuraavasti:
      Yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annetun Euroopan
            parlamentin ja neuvoston direktiivin 95/46/EY 12 artiklan a alakohdassa velvoitetaan jäsenvaltiot säätämään paitsi nykyisyyteen
            myös menneeseen aikaan kohdistuvasta, vastaanottajia tai vastaanottajaryhmiä sekä luovutettujen tietojen sisältöä koskevasta
            tiedonsaantioikeudesta. Jäsenvaltioiden tehtävänä on asettaa määräaika näiden tietojen säilyttämiselle ja säätää niitä koskevasta
            vastaavasta tiedonsaantioikeudesta, joilla saavutetaan oikea tasapaino yhtäältä intressin, joka rekisteröidyllä on yksityiselämänsä
            suojaamiseen muun muassa direktiivissä 95/46 säädettyjen puuttumis- ja oikeussuojakeinojen avulla, ja toisaalta sen taakan
            välillä, jota näiden tietojen säilyttäminen merkitsee rekisterinpitäjälle. 
      Säännöstöllä, jolla henkilötietojen vastaanottajia tai vastaanottajaryhmiä sekä luovutettujen tietojen sisältöä koskevien
            tietojen säilyttäminen rajoitetaan yhteen vuoteen ja jolla rajoitetaan vastaavasti näitä tietoja koskevaa tiedonsaantioikeutta,
            vaikka perustietoja säilytetään paljon pidempään, ei voida saavuttaa kyseessä olevan intressin ja velvollisuuden oikeaa tasapainoa,
            ellei osoiteta, että näiden tietojen pidempi säilyttäminen olisi liiallinen taakka rekisterinpitäjälle. Kansallisen tuomioistuimen
            tehtävänä on suorittaa tarpeelliset tutkimukset. 
      Allekirjoitukset
      * Oikeudenkäyntikieli: hollanti.