Euroopan unionin tuomioistuimen tuomioita 2014-2015

Valikoituja Euroopan yhteisöjen tuomioistuimen henkilötietojen suojaa koskevia ratkaisuja vuosilta 2014 -2015.

Ratkaisut kokonaisuudessaan löytyvät tuomioistuimen kotisivuilta.

Asia C-201/14. Smaranda Bara ym. vastaan Președintele Casei Naționale de Asigurări de Sănătate ym.

Unionin tuomioistuimen tuomio (kolmas jaosto) 1.10.2015 Smaranda Bara ym. vastaan Președintele Casei Naționale de Asigurări de Sănătate ym. Curtea de Apel Clujin esittämä ennakkoratkaisupyyntö Ennakkoratkaisupyyntö – Direktiivi 95/46/EY – Henkilötietojen käsittely – 10 ja 11 artikla – Rekisteröityjen informointi – 13 artikla – Poikkeukset ja rajoitukset – Se, että jäsenvaltion viranomainen siirtää henkilökohtaisia verotietoja niiden käsittelemiseksi toisessa viranomaisessa.

Yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY 10, 11 ja 13 artiklaa on tulkittava siten, että ne ovat esteenä pääasiassa kyseessä olevien kaltaisille kansallisille toimenpiteille, joiden nojalla jäsenvaltion viranomainen voi siirtää henkilötietoja toiselle viranomaiselle ja joiden nojalla näitä tietoja voidaan käsitellä myöhemmin, ilman että rekisteröityjä on informoitu tästä siirrosta tai tästä käsittelystä.

Asia C-212/13. František Ryneš vastaan Úřad pro ochranu osobních údajů.

Unionin tuomioistuimen tuomio (neljäs jaosto) 11 päivänä joulukuuta 2014. František Ryneš vastaan Úřad pro ochranu osobních údajů. Ennakkoratkaisupyyntö: Nejvyšší správní soud - Tsekin tasavalta. Ennakkoratkaisupyyntö - Direktiivi 95/46/EY - Yksilöiden suojelu - Henkilötietojen käsittely - Yksinomaan henkilökohtaisen tai kotitaloutta koskevan toiminnan käsite.

Yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY 3 artiklan 2 kohdan toista luetelmakohtaa on tulkittava siten, että sellaisen kamerajärjestelmän käyttämisen, joka tekee henkilöistä kuvatallenteen, joka tallennetaan kovalevyn kaltaiselle jatkuvasti tallentavalle laitteelle, ja jonka luonnollinen henkilö on asentanut kotitaloonsa suojatakseen talon omistajien omaisuutta, terveyttä ja henkeä, kun tällä järjestelmällä valvotaan myös julkista tilaa, ei ole katsottava olevan tietojenkäsittelyä, joka suoritetaan yksinomaan henkilökohtaisessa tai kotitaloutta koskevassa toiminnassa kyseisessä säännöksessä tarkoitetuin tavoin.

Asia C 131/12. Google Spain SL ja Google Inc. vastaan Agencia Española de Protección de Datos (AEPD) ja Mario Costeja González.

Unionin tuomioistuimen tuomio (suuri jaosto) 13.5.2014. Google Spain SL ja Google Inc. vastaan Agencia Española de Protección de Datos (AEPD) ja Mario Costeja González.Audiencia Nacionalen esittämä ennakkoratkaisupyyntö. Henkilötiedot – Yksilöiden suojelu henkilötietojen käsittelyssä – Direktiivi 95/46/EY – 2, 4, 12 ja 14 artikla – Asiallinen ja alueellinen soveltamisala – Internethakukoneet – Internetsivustoilla olevien tietojen käsittely – Kyseisten tietojen hakeminen, indeksointi ja tallentaminen – Hakukoneen ylläpitäjän vastuu – Jäsenvaltion alueella sijaitseva toimipaikka – Hakukoneen ylläpitäjän velvollisuuksien ja rekisteröidyn oikeuksien ulottuvuus – Euroopan unionin perusoikeuskirja – 7 ja 8 artikla.

1) Yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY 2 artiklan b ja d alakohtaa on tulkittava siten, että yhtäältä hakukoneen sellaisen toiminnan, joka käsittää sivullisten internetissä julkaisemien tai siihen liittämien tietojen löytämisen, automaattisen indeksoinnin ja tilapäisen tallentamisen sekä lopuksi kyseisten tietojen asettamisen internetin käyttäjien saataville tietyssä etusijajärjestyksessä, on katsottava olevan kyseisen 2 artiklan b alakohdassa tarkoitettua "henkilötietojen käsittelyä" silloin, kun näihin tietoihin sisältyy henkilötietoja, ja toisaalta kyseisen hakukoneen ylläpitäjää on pidettävä mainitun 2 artiklan d alakohdassa tarkoitettuna "rekisterinpitäjänä".

2) Direktiivin 95/46 4 artiklan 1 kohdan a alakohtaa on tulkittava siten, että henkilötietojen käsittely suoritetaan jäsenvaltion alueella sijaitsevassa rekisterinpitäjän toimipaikassa tapahtuvan toiminnan yhteydessä kyseisessä säännöksessä tarkoitetulla tavalla silloin, kun hakukoneen ylläpitäjä perustaa jäsenvaltioon sivuliikkeen tai tytäryhtiön, jonka tehtävänä on markkinoida ja myydä hakukoneen tarjoamia mainospaikkoja ja jonka toiminta kohdistuu kyseisen jäsenvaltion asukkaisiin.

3) Direktiivin 95/46 12 artiklan b alakohtaa ja 14 artiklan ensimmäisen kohdan a alakohtaa on tulkittava siten, että kyseisissä säännöksissä säädettyjen oikeuksien kunnioittamiseksi – ja kunhan noissa säännöksissä säädetyt edellytykset ovat todellakin täyttyneet – hakukoneen ylläpitäjä on velvollinen poistamaan henkilön nimellä suoritetun haun johdosta näkyvästä hakutulosten luettelosta linkit sivullisten julkaisemiin internetsivuihin, joissa on kyseistä henkilöä koskevaa tietoa, myös siinä tilanteessa, että kyseistä nimeä tai kyseisiä tietoja ei ole poistettu ensin tai poisteta samanaikaisesti näiltä internetsivuilta, ja näin on tilanteen mukaan jopa silloin, kun niiden julkaiseminen mainituilla sivuilla on itsessään laillista.

4) Direktiivin 95/46 12 artiklan b alakohtaa ja 14 artiklan ensimmäisen kohdan a alakohtaa on tulkittava siten, että kyseisten säännösten soveltamisedellytyksiä arvioitaessa on muun muassa tutkittava, onko rekisteröidyllä oikeus siihen, ettei kyseessä olevia hänen henkilöään koskevia tietoja liitetä enää arviointiajankohtana hänen nimeensä sellaisessa hakutulosten luettelossa, joka tulee näkyviin rekisteröidyn nimellä suoritetun haun johdosta, ilman, että tällaisen oikeuden toteaminen edellyttäisi kuitenkaan sitä, että kyseessä olevien tietojen sisällyttäminen hakutulosten luetteloon aiheuttaa vahinkoa rekisteröidylle. Kun rekisteröity voi hänellä Euroopan unionin perusoikeuskirjan 7 ja 8 artiklan nojalla olevien perusoikeuksiensa suhteen vaatia, ettei kyseessä olevia tietoja aseteta enää suuren yleisön saataville sisällyttämällä ne tällaiseen hakutulosten luetteloon, kyseiset oikeudet syrjäyttävät lähtökohtaisesti paitsi hakukoneen ylläpitäjän taloudellisen intressin myös suurella yleisöllä olevan intressin saada mainitut tiedot saataviinsa tehdessään haun rekisteröidyn nimellä. Tästä ei kuitenkaan olisi kyse, jos ilmenee, että rekisteröidyllä julkisuudessa olevan aseman kaltaisista erityisistä syistä puuttuminen rekisteröidyn perusoikeuksiin on perusteltavissa sillä ensisijaisella intressillä, joka suurella yleisöllä on saada nuo tiedot saataviinsa kyseisen sisällyttämisen johdosta.

Asia C-230/14. Weltimmo s.r.o. vastaan Nemzeti Adatvédelmi és Információszabadság Hatóság

Unionin tuomioistuimen tuomio (kolmas jaosto) 1.10.2015 (ennakkoratkaisupyyntö, jonka on esittänyt Kúria – Unkari) – Weltimmo s.r.o. v. Nemzeti Adatvédelmi és Információszabadság Hatóság (Ennakkoratkaisupyyntö — Yksilöiden suojelu henkilötietojen käsittelyssä — Direktiivi 95/46/EY — 4 artiklan 1 kohta ja 28 artiklan 1, 3 ja 6 kohta — Muodollisesti jäsenvaltioon sijoittautunut rekisterinpitäjä — Sellaisten henkilötietojen suojelua koskevan oikeuden loukkaus, jotka koskevat yksityishenkilöitä toisessa jäsenvaltiossa — Sovellettavan oikeuden ja toimivaltaisen valvontaviranomaisen määrittäminen — Valvontaviranomaisen valtuuksien käyttäminen — Rankaisuvalta)

1) Yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY 4 artiklan 1 kohdan a alakohtaa on tulkittava siten, että sen nojalla on mahdollista soveltaa henkilötietojen suojaa koskevaa lainsäädäntöä, joka on muun jäsenvaltion lainsäädäntö kuin sen, jossa näiden tietojen rekisterinpitäjä on rekisteröity, kunhan rekisterinpitäjä harjoittaa kyseisen valtion alueella olevan kiinteän toimipaikan välityksin aitoa ja todellista, vaikka vähäistäkin, toimintaa, jonka yhteydessä tämä tietojenkäsittely suoritetaan.

Sen määrittämiseksi, onko tilanne tällainen pääasiassa kyseessä olevan kaltaisissa olosuhteissa, ennakkoratkaisua pyytänyt tuomioistuin voi erityisesti ottaa huomioon yhtäältä sen, että kyseisen rekisterinpitäjän toiminta, jonka yhteydessä käsittely on suoritettu, muodostuu sellaisten internetsivustojen ylläpitämisestä, joilla on ilmoituksia tämän jäsenvaltion alueella sijaitsevista kiinteistöistä ja jotka on laadittu sen kielellä ja että se on siis tämän vuoksi pääasiallisesti tai jopa täysin kohdistettu tähän jäsenvaltioon, ja toisaalta sen, että tällä rekisterinpitäjällä on kyseisessä jäsenvaltiossa edustaja, jonka tehtävänä on periä tästä toiminnasta aiheutuneet saatavat ja edustaa rekisterinpitäjää asianomaisten tietojen käsittelyä koskevissa hallinnollisissa menettelyissä ja tuomioistuinmenettelyissä.

Henkilöiden, joita tämä tietojenkäsittely koskee, kansalaisuudella ei sen sijaan ole merkitystä.

2) Siinä tapauksessa, että jäsenvaltion valvontaviranomainen, jonka käsiteltäväksi on saatettu kanteluja direktiivin 95/46 28 artiklan 4 kohdan mukaisesti, tulee siihen tulokseen, että asianomaisten henkilötietojen käsittelyyn ei ole sovellettava tämän jäsenvaltion vaan jonkin toisen jäsenvaltion oikeutta, direktiivin 95/46 28 artiklan 1, 3 ja 6 kohtaa on tulkittava siten, että tämä valvontaviranomainen voi käyttää sille kyseisen direktiivin 28 artiklan 3 kohdassa annettuja tehokkaita toimintavaltuuksia vain jäsenvaltionsa alueella. Se ei siis voi määrätä seuraamuksia tämän jäsenvaltion oikeuden perusteella näiden tietojen rekisterinpitäjälle, joka ei ole sijoittautunut tälle alueelle, vaan sen on saman direktiivin 28 artiklan 6 kohdan nojalla pyydettävä sen jäsenvaltion valvontaviranomaista, jonka oikeutta sovelletaan, toimimaan asiassa.

3) Direktiiviä 95/46 on tulkittava siten, että direktiivin unkarinkielisessä versiossa ja erityisesti sen 4 artiklan 1 kohdan a alakohdassa ja 28 artiklan 6 kohdassa käytetty käsite "adatfeldolgozás" (tietojen muokkaaminen) on ymmärrettävä samalla tavoin kuin sana "adatkezelés" (tietojen käsittely).

Asia C-362/14: Maximillian Schrems vastaan Data Protection Commissioner.

Unionin tuomioistuimen tuomio (suuri jaosto) 6.10.2015 (ennakkoratkaisupyyntö, jonka on esittänyt High Court – Irlanti) – Maximillian Schrems v. Data Protection Commissioner (Ennakkoratkaisupyyntö — Henkilötiedot — Yksilöiden suojelu henkilötietojen käsittelyssä — Euroopan unionin perusoikeuskirja — 7, 8 ja 47 artikla — Direktiivi 95/46/EY — 25 ja 28 artikla — Henkilötietojen siirto kolmansiin maihin — Päätös 2000/520/EY — Henkilötietojen siirto Yhdysvaltoihin — Tietosuojan riittämätön taso — Pätevyys — Luonnollisen henkilön, jonka tiedot on siirretty Euroopan unionista Yhdysvaltoihin, tekemä kantelu — Kansallisten valvontaviranomaisten toimivalta)

1) Yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY, sellaisena kuin se on muutettuna 29.9.2003 annetulla Euroopan parlamentin ja neuvoston asetuksella (EY) N:o 1882/2003, 25 artiklan 6 kohtaa, luettuna Euroopan unionin perusoikeuskirjan 7, 8 ja 47 artiklan valossa, on tulkittava siten, että kyseiseen säännökseen perustuva direktiivin 95/46 mukaisesti yksityisyyden suojaa koskevien safe harbor periaatteiden antaman suojan riittävyydestä ja niihin liittyvistä Yhdysvaltojen kauppaministeriön julkaisemista tavallisimmista kysymyksistä 26.7.2000 tehdyn komission päätöksen 2000/520/EY kaltainen päätös, jolla Euroopan komissio toteaa kolmannen maan takaavan tietosuojan riittävän tason, ei ole esteenä sille, että direktiivin, sellaisena kuin se on muutettuna, 28 artiklassa tarkoitettu jäsenvaltion valvontaviranomainen tutkii vaatimuksen, jonka henkilö on esittänyt oikeuksiensa ja vapauksiensa suojasta jäsenvaltiosta kyseiseen kolmanteen maahan siirrettyjen henkilötietojensa käsittelyssä, kun henkilön mukaan kyseisessä maassa voimassa olevat oikeussäännöt ja käytännöt eivät takaa tietosuojan riittävää tasoa.

2) Päätös 2000/520 on pätemätön.

 
Julkaistu 11.8.2016