HFD:2016:208

Högsta förvaltningsdomstolen hade att avgöra om det religiösa samfundet Jehovas vittnen enligt dataskyddsdirektivet och personuppgiftslagen skulle betraktas som registeransvarig i fråga om personuppgifter som medlemmar i samfundet samlade in och behandlade i sitt predikoarbete genom att gå från dörr till dörr.

Högsta förvaltningsdomstolen beslöt att med stöd av artikel 267 i FEUF framställa följande begäran om förhandsavgörande till unionens domstol:

1. Ska de undantag från dataskyddsdirektivets tillämpningsområde som anges i de två strecksatserna i artikel 3.2 i dataskyddsdirektivet tolkas så att direktivet inte omfattar insamling och annan behandling av personuppgifter som medlemmar i ett religiöst samfund utför i predikoarbete, som de utför genom att gå från dörr till dörr? Vilken betydelse för direktivets tillämplighet har å ena sidan det att uppgifterna samlas in i predikoverksamhet som organiseras av ett religiöst samfund och dess församlingar och å andra sidan det att det samtidigt även är fråga om personlig religionsutövning av medlemmar i ett religiöst samfund?

2. Ska den definition av ett register som finns i artikel 2.c i dataskyddsdirektivet med beaktande av styckena 26 och 27 i skälen till direktivet tolkas så att den helhet av personuppgifter (uppgifter om namn och adress samt eventuella andra uppgifter om personen i fråga eller karakteristik av honom eller henne) som samlas in manuellt i samband med ovan nämnda predikoarbete från dörr till dörr

a) inte bildar ett sådant register, då det till denna helhet av uppgifter inte på det sätt som framgår av den finska personuppgiftslagen finns något bestämt kartotek, någon bestämd förteckning eller annat motsvarande arrangemang för sökning i uppgifterna, eller

b) bildar ett sådant register, då det bland uppgifterna med hänsyn till deras användningsändamål på det sätt som förutsätts i den finska personuppgiftslagen de facto med lätthet och utan oskäliga kostnader kan sökas fram behövliga uppgifter för senare bruk?

3. Ska satsen i artikel 2.d i dataskyddsdirektivet "som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter" tolkas så att ett religiöst samfund, som organiserar en verksamhet i anslutning till vilken personuppgifter samlas in (bland annat genom uppdelning av arbetsfält mellan predikanterna, uppföljning av deras arbete och genom att register förs över personer som inte önskar besök av predikanterna), kan betraktas som registeransvarig beträffande den behandling av personuppgifter som dess medlemmar utför, trots att enligt samfundet endast enstaka förkunnare har tillgång till de uppgifter som de registrerat?

4. Ska nämnda artikel 2.d tolkas så ett samfund för att betraktas som registeransvarig ska vidta också andra uttryckliga åtgärder, såsom ge order eller meddela skriftliga anvisningar om insamlingen av uppgifterna, eller räcker det att samfundet anses ha en faktisk ställning i styrningen av medlemmarnas verksamhet?

Frågorna 3 och 4 behöver besvaras endast om svaren på frågorna 1 och 2 är sådana att direktivet ska tillämpas. Fråga 4 behöver besvaras endast om möjligheten att tillämpa artikel 2.d på samfundet inte kan anses utesluten med anledning av vad som sägs i fråga 3.

Personuppgiftslagen (523/1999) 2 § 2 mom. och 3 §

Europaparlamentets och rådets direktiv 95/46/EG om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet) artiklarna 2.c och 2.d samt 3.1 och 3.2