KHO:2016:208

Ennakkoratkaisupyyntö unionin tuomioistuimelle – Henkilötietolaki – Tietosuojadirektiivi – Jehovan todistajat – Saarnaamistyön yhteydessä kerättävät henkilötiedot

Vuosikirjanumero: KHO:2016:208
Antopäivä: 22.12.2016
Taltionumero: 5445
Diaarinumero: 193/1/15
ECLI-tunniste: ECLI:FI:KHO:2016:208

Korkeimmassa hallinto-oikeudessa oli ratkaistavana kysymys siitä, oliko Jehovan todistajat -uskonnollista yhdyskuntaa pidettävä tietosuojadirektiivissä ja henkilötietolaissa tarkoitettuna rekisterinpitäjänä niiden henkilötietojen osalta, joita yhdyskunnan jäsenet keräsivät ja käsittelivät ovelta ovelle -saarnaamistyön yhteydessä.

Korkein hallinto-oikeus päätti esittää unionin tuomioistuimelle seuraavan SEUT 267 artiklassa tarkoitetun ennakkoratkaisupyynnön:

1. Onko tietosuojadirektiivin 3 artiklan 2 kohdan kahdessa luetelmakohdassa säädettyjä soveltamisalaa koskevia poikkeuksia tulkittava siten, että henkilötietojen kerääminen ja muu käsittely, jota uskonnollisen yhdyskunnan jäsenet suorittavat ovelta ovelle -saarnaamistyön yhteydessä, ei kuulu direktiivin soveltamisalaan? Mikä merkitys direktiivin sovellettavuutta arvioitaessa on toisaalta sillä, että saarnaamistoiminta, jonka yhteydessä tietoja kerätään, on uskonnollisen yhdyskunnan ja sen seurakuntien organisoimaa, ja toisaalta sillä, että kyse on samalla myös uskonnollisen yhdyskunnan jäsenten henkilökohtaisesta uskonnon harjoittamisesta?

2. Onko tietosuojadirektiivin 2 artiklan c kohdassa tarkoitettua rekisteröintijärjestelmän määritelmää direktiivin perustelukappaleet 26 ja 27 huomioon ottaen tulkittava siten, että edellä kuvatun ovelta ovelle -saarnaamistyön yhteydessä manuaalisesti kerättävien henkilötietojen kokonaisuus (nimi- ja osoitetiedot sekä muut mahdolliset henkilöä koskevat tiedot ja luonnehdinnat),

a) ei muodosta tällaista rekisteröintijärjestelmää sen vuoksi, että siihen ei Suomen henkilötietolain määritelmässä esitetyin tavoin liity nimenomaista kortistoa tai luetteloa tai niihin rinnastuvaa hakua palvelevaa järjestelyä; vai

b) muodostaa tällaisen rekisteröintijärjestelmän sen vuoksi, että tiedoista voidaan, niiden käyttötarkoitus huomioon ottaen, Suomen henkilötietolaissa edellytetyin tavoin tosiasiallisesti helposti ja kohtuuttomitta kustannuksitta hakea myöhempää käyttöä varten tarvittavat tiedot?

3. Onko tietosuojadirektiivin 2 artiklan d kohdan lausetta "... joka, yksin tai yhdessä toisten kanssa, määrittelee henkilötietojen käsittelyn tarkoituksen ja keinot...", tulkittava siten, että uskonnollista yhdyskuntaa, joka organisoi toimintaa, jonka yhteydessä henkilötietoja kerätään (muun muassa jakamalla toiminta-alueita saarnaajien kesken, seuraamalla saarnaajien työtä sekä pitämällä rekisteriä henkilöistä, jotka eivät halua saarnaajien käyvän luonaan), voidaan pitää sen jäsenten harjoittaman henkilötietojen käsittelyn osalta rekisterinpitäjänä, vaikka yhdyskunnan kertoman mukaan vain yksittäisillä julistajilla on pääsy kirjaamiinsa tietoihin?

4. Onko mainittua d kohtaa tulkittava siten, että yhdyskunnan pitäminen rekisterinpitäjänä edellyttää yhdyskunnalta muita nimenomaisia toimia, kuten käskyjä tai kirjallisia ohjeita, joilla se ohjaa tietojen keräämistä vai onko riittävää se, että yhdyskunnalla katsotaan olevan tosiasiallinen asema jäsentensä toiminnan ohjaamisessa?

Kysymyksiin 3 ja 4 on tarpeen vastata vain, jos kysymyksiin 1 ja 2 annettujen vastausten perusteella direktiiviä on sovellettava. Kysymykseen 4 on tarpeen vastata vain, jos kysymyksen 3 perusteella ei voida pitää poissuljettuna mahdollisuutta soveltaa direktiivin 2 artiklan d kohtaa yhdyskuntaan.

Henkilötietolaki (523/1999) 2 § 2 momentti ja 3 §

Euroopan parlamentin ja neuvoston direktiivi 95/46/EY yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta (tietosuojadirektiivi) 2 artikla c ja d alakohta, 3 artikla 1 ja 2 kohta

Päätös, jota valitus koskee

Helsingin hallinto-oikeus 18.12.2014 nro 14/0991/5

1 Oi­keu­den­käyn­nin koh­de ja merkitykselliset tosiseikat

Oikeudenkäynnin kohde

1. Korkeimmassa hallinto-oikeudessa on ratkaistavana kysymys siitä, onko Jehovan todistajat -uskonnollista yhdyskuntaa (yhdyskunta) pidettävä tietosuojadirektiivissä 95/46/EY ja henkilötietolaissa (523/1999) tarkoitettuna rekisterinpitäjänä niiden henkilötietojen osalta, joita yhdyskunnan jäsenet keräävät ja käsittelevät ovelta ovelle -saarnaamistyön yhteydessä.

2. Tietosuojalautakunta on tietosuojavaltuutetun hakemuksen johdosta antanut 17.9.2013 päätöksen, jolla se on henkilötietolain 44 §:n 1 kohdan nojalla kieltänyt yhdyskuntaa keräämästä tai muutoin käsittelemästä ovelta ovelle -saarnaamistyössä henkilötietoja ilman, että jokin henkilötietolain 8 §:ssä tarkoitetuista henkilötietojen käsittelyn yleisistä edellytyksistä ja arkaluonteisten tietojen osalta saman lain 12 §:ssä tarkoitetuista ehdoista täyttyy. Tietosuojalautakunta on lisäksi velvoittanut yhdyskunnan henkilötietolain 44 §:n 2 kohdan nojalla kuuden kuukauden määräajassa osaltaan huolehtimaan siitä, että yhdyskunnan tarkoituksia varten ei kerätä henkilötietoja ilman, että henkilötietolaissa tarkoitetut henkilötietojen käsittelyn edellytykset täyttyvät. Päätöksensä perusteluissa tietosuojalautakunta on katsonut, että kyse on henkilötietolain soveltamisalaan kuuluvasta henkilötietojen käsittelystä, ja että yhdyskunta ja yhdyskunnan jäsenet yhdessä ovat henkilötietolaissa tarkoitettuja rekisterinpitäjiä.

3. Yhdyskunta on valittanut tietosuojalautakunnan päätöksestä Helsingin hallinto-oikeudelle ja vaatinut, että päätöstä on muutettava. Yhdyskunta on valituksensa perusteluissa katsonut, ettei sitä ole pidettävä sellaisena rekisterinpitäjänä, johon tietosuojalautakunnan päätöksessä tarkoitettuja velvoitteita voidaan kohdistaa, ja että kyse henkilötietolain 2 §:n 3 momentissa tarkoitetusta henkilökohtaisiin tarkoituksiin tapahtuvasta henkilötietojen käsittelystä, johon ei sovelleta henkilötietolakia.

4. Helsingin hallinto-oikeus on 18.12.2014 antamallaan päätöksellä kumonnut tietosuojalautakunnan päätöksen. Hallinto-oikeus on katsonut, ettei yhdyskunta ole henkilötietolaissa tarkoitettu rekisterinpitäjä eikä sen toiminnassa ole ilmennyt oikeudetonta henkilötietojen käsittelyä.

5. Tietosuojavaltuutettu on valittanut Helsingin hallinto-oikeuden päätöksestä korkeimpaan hallinto-oikeuteen ja vaatinut, että hallinto-oikeuden päätös kumotaan ja tietosuojalautakunnan päätös saatetaan voimaan. Korkeimman hallinto-oikeuden ratkaistavana on siten tietosuojavaltuutetun valituksen johdosta kysymys siitä, onko hallinto-oikeus voinut kumota tietosuojalautakunnan päätöksen lainvastaisena.

Merkitykselliset tosiseikat

6. Yhdyskunnan jäseninä olevat yksittäiset Jehovan todistajat tekevät ovelta ovelle -saarnaamistyön yhteydessä muistiinpanoja tapaamistaan heille ja yhdyskunnalle vieraista ihmisistä tai merkintöjä siitä, että kukaan ei ollut paikalla. Tiedot kerätään muistin tueksi ja siinä tarkoituksessa, että ne ovat löydettävissä myöhempää käyntiä varten. Tiedot kerätään ilman kyseessä olevien henkilöiden suostumusta ja ilman, että heitä informoidaan tietojen käsittelystä.

7. Asiassa esitetyn selvityksen perusteella tietoja saatetaan kerätä esimerkiksi muistikirjaan tai muistilapuille. Tiedot voivat koskea esimerkiksi tavattujen henkilöiden nimiä, osoitteita sekä tietoja käydyistä keskusteluista koskien muun muassa henkilön uskonnollista vakaumusta ja perhesuhteita. Yhdyskunnan mukaan kyse on epämuodollisista yksityisistä muistiinpanoista. Yhdyskunta on kertonut, että se ei vaadi muistiinpanojen tekemistä eikä käsittele niitä, yhdyskunnalla ei ole tiedossa, ketkä jäsenet tekevät muistiinpanoja, jäsenet eivät luovuta keräämiään tietoja yhdyskunnalle tai muille henkilöille eikä yhdyskunnalla ole pääsyä tietoihin.

8. Yhdyskunta ja sen seurakunnat organisoivat ovelta ovelle -saarnaamistyötä muun ohella pitämällä yllä aluekarttoja, joiden avulla alueet jaetaan evankelioimistyötä tekevien jäsenten kesken. Lisäksi seurakunnat ylläpitävät julistajakortteja eli rekisteriä, johon kirjataan, paljonko jäsen on levittänyt yhdyskunnan julkaisuja, paljonko hän on käyttänyt aikaa evankelioimistyöhön jne.

9. Yhdyskunta on antanut jäsenilleen ohjeistusta muistiinpanojen tekemisestä ainakin Jehovan todistajien saarnaamistyötä käsittelevässä Valtakunnan palveluksemme -lehtisessä. Valtakunnan palveluksemme -lehtisen artikkelissa marraskuussa 2011 on todettu muun ohella seuraavaa: "Tee heti käynnin jälkeen muistiinpanoja. Kirjoita muistiin henkilön nimi ja osoite, päivämäärä ja kellonaika sekä se, mistä puhuitte ja mitä kirjallisuutta hän mahdollisesti otti. Sanoiko hän kuuluvansa johonkin uskontokuntaan? Onko hänellä perhettä? Kertoiko hän kiinnostuksenkohteistaan tai huolenaiheistaan? Tällaiset tiedot auttavat sinua valmistautumaan tuleviin keskusteluihin." Yhdyskunta on esittänyt, että mainittua kappaletta on käsitelty lyhyesti seurakuntien uskonnollisissa kokouksissa marraskuussa 2011, eikä sitä ole käsitelty enää sen jälkeen.

10. Yhdyskunta on aiemmin käyttänyt lomaketta S-8-FI edellä kuvattujen tietojen keräämiseen evankelioimistyössä. Lomakkeen käytöstä on luovuttu tietosuojavaltuutetun antaman kehotuksen jälkeen.

11. Asiakirjoihin liitetyssä Valtakunnan palveluksemme -lehtisen Miten löytää vieraskielisiä ihmisiä? -artikkelissa (heinäkuu 2012) on todettu muun ohella seuraavaa: "Seurakunnissa, joiden lähellä toimii vieraskielinen seurakunta tai ryhmä, julistajille voidaan ilmoittaa, että jos ne löytävät jonkun tätä kieltä puhuvan, heidän tulisi kirjoittaa muistiin osoite ja antaa se palvelusvalvojalle, joka välittää sen kyseiselle seurakunnalle tai ryhmälle. Aluekortin yhteydessä tulee pitää luetteloa näistä nimistä ja osoitteista, jotka eivät kuulu suomenkieliseen alueeseen (= = =)." Tietojen keräämiseen on käytetty lomaketta S-43. Lomake on toimitettu seurakuntaan, joka on pyrkinyt löytämään kyseistä kieltä osaavan henkilön käymään kyseisessä osoitteessa. Yhdyskunta on sittemmin ilmoittanut luopuneensa tämän lomakkeen käytöstä.

12. Yhdyskunnan seurakunnat pitävät lisäksi rekisteriä henkilöistä, jotka ovat pyytäneet, että saarnaamistyötä tekevät jäsenet eivät kävisi heidän ovellaan. Yksittäiset Jehovan todistajat käyttävät tämän rekisterin (ns. kieltorekisteri) tietoja saarnaamistyössään. Näiden tietojen käsittely on tietosuojavaltuutetun mukaan henkilötietolain mukaista.

13. Yhdyskunta on toimittanut Helsingin hallinto-oikeudelle Alankomaiden, Tanskan ja Norjan tietosuojaviranomaisten kannanotot, jotka liittyvät Jehovan todistajien harjoittamaan tietojen keräämiseen. Alankomaiden tietosuojaviranomainen (Registratiekamer) on kirjeessään vuonna 1998 esittänyt, että Jehovan todistajien harjoittama tietojen kerääminen ei kuulu Alankomaiden henkilötietorekistereitä koskevan lain soveltamisalaan. Tanskan tietosuojaviranomainen (Registertilsynet) on kirjeessään vuonna 1995 esittänyt, ettei Jehovan todistajien harjoittama tietojen kerääminen riko Tanskan henkilörekisterilakia. Norjan tietosuojaviranomainen on kirjeessään vuonna 2006 esittänyt, että kerätyt tiedot eivät muodosta sellaista henkilörekisteriä, että toimintaan tulisi soveltaa Norjan henkilötietolakia.

14. Suomen oikeuskäytännössä ei ole aikaisemmin otettu vastaavanlaisessa tilanteessa kantaa henkilötietolain soveltamiseen ja rekisterinpitäjän käsitteen tulkintaan.

2 Kansallinen lainsäädäntö

Henkilötietolaki

15. Henkilötietolailla (523/1999) on saatettu voimaan Euroopan parlamentin ja neuvoston direktiivi 95/46/EY yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta (tietosuojadirektiivi).

16. Henkilötietolain 1 §:n mukaan lain tarkoituksena on toteuttaa yksityiselämän suojaa ja muita yksityisyyden suojaa turvaavia perusoikeuksia henkilötietoja käsiteltäessä sekä edistää hyvän tietojenkäsittelytavan kehittämistä ja noudattamista.

17. Henkilötietolain 2 §:n 1 momentin mukaan henkilötietoja käsiteltäessä on noudatettava, mitä mainitussa laissa säädetään, jollei muualla laissa toisin säädetä. Pykälän 2 momentin mukaan lakia sovelletaan henkilötietojen automaattiseen käsittelyyn. Myös muuhun henkilötietojen käsittelyyn sovelletaan tätä lakia silloin, kun henkilötiedot muodostavat tai niiden on tarkoitus muodostaa henkilörekisteri tai sen osa. Pykälän 3 momentin mukaan tämä laki ei koske henkilötietojen käsittelyä, jonka luonnollinen henkilö suorittaa yksinomaan henkilökohtaisiin tai niihin verrattaviin tavanomaisiin yksityisiin tarkoituksiinsa.

18. Henkilötietolain 3 §:n mukaan tässä laissa tarkoitetaan:

1) henkilötiedolla kaikenlaisia luonnollista henkilöä taikka hänen ominaisuuksiaan tai elinolosuhteitaan kuvaavia merkintöjä, jotka voidaan tunnistaa häntä tai hänen perhettään tai hänen kanssaan yhteisessä taloudessa eläviä koskeviksi;

2) henkilötietojen käsittelyllä henkilötietojen keräämistä, tallettamista, järjestämistä, käyttöä, siirtämistä, luovuttamista, säilyttämistä, muuttamista, yhdistämistä, suojaamista, poistamista, tuhoamista sekä muita henkilötietoihin kohdistuvia toimenpiteitä;

3) henkilörekisterillä käyttötarkoituksensa vuoksi yhteenkuuluvista merkinnöistä muodostuvaa henkilötietoja sisältävää tietojoukkoa, jota käsitellään osin tai kokonaan automaattisen tietojenkäsittelyn avulla taikka joka on järjestetty kortistoksi, luetteloksi tai muulla näihin verrattavalla tavalla siten, että tiettyä henkilöä koskevat tiedot voidaan löytää helposti ja kohtuuttomitta kustannuksitta;

4) rekisterinpitäjällä yhtä tai useampaa henkilöä, yhteisöä, laitosta tai säätiötä, jonka käyttöä varten henkilörekisteri perustetaan ja jolla on oikeus määrätä henkilörekisterin käytöstä tai jonka tehtäväksi rekisterin­pito on lailla säädetty;

5) rekisteröidyllä henkilöä, jota henkilötieto koskee;

6) sivullisella muuta henkilöä, yhteisöä, laitosta tai säätiötä kuin rekisteröityä, rekisterinpitäjää, henkilötietojen käsittelijää tai henkilötietoja kahden viimeksi mainitun lukuun käsittelevää;

7) suostumuksella kaikenlaista vapaaehtoista, yksilöityä ja tietoista tahdon ilmaisua, jolla rekisteröity hyväksyy henkilötietojensa käsittelyn.

19. Henkilötietolain 8 §:n mukaan henkilötietoja saa käsitellä ainoastaan:

1) rekisteröidyn yksiselitteisesti antamalla suostumuksella;

2) rekisteröidyn toimeksiannosta tai sellaisen sopimuksen täytäntöönpanemiseksi, jossa rekisteröity on osallisena, taikka sopimusta edeltävien toimenpiteiden toteuttamiseksi rekisteröidyn pyynnöstä;

3) jos käsittely yksittäistapauksessa on tarpeen rekisteröidyn elintärkeän edun suojaamiseksi;

4) jos käsittelystä säädetään laissa tai jos käsittely johtuu rekisterinpitäjälle laissa säädetystä tai sen nojalla määrätystä tehtävästä tai velvoitteesta;

5) jos rekisteröidyllä on asiakas- tai palvelussuhteen, jäsenyyden tai muun niihin verrattavan suhteen vuoksi asiallinen yhteys rekisterinpitäjän toimintaan (yhteysvaatimus);

6) jos kysymys on konsernin tai muun taloudellisen yhteenliittymän asiakkaita tai työntekijöitä koskevista tiedoista ja näitä tietoja käsitellään kyseisen yhteenliittymän sisällä;

7) jos käsittely on tarpeen rekisterinpitäjän toimeksiannosta tapahtuvaa maksupalvelua, tietojenkäsittelyä tai muita niihin verrattavia tehtäviä varten;

8) jos kysymys on henkilön asemaa, tehtäviä ja niiden hoitoa julkisyhteisössä tai elinkeinoelämässä kuvaavista yleisesti saatavilla olevista tiedoista ja näitä tietoja käsitellään rekisterinpitäjän tai tiedot saavan sivullisen oikeuksien ja etujen turvaamiseksi; tai

9) jos tietosuojalautakunta on antanut käsittelyyn 43 §:n 1 momentissa tarkoitetun luvan.

20. Henkilötietolain 11 §:n mukaan arkaluonteisten henkilötietojen käsittely on kielletty. Arkaluonteisina tietoina pidetään muun ohella henkilötietoja, jotka kuvaavat tai on tarkoitettu kuvaamaan rotua tai etnistä alkuperää, henkilön yhteiskunnallista, poliittista tai uskonnollista vakaumusta tai ammattiliittoon kuulumista tai henkilön terveydentilaa, sairautta tai vammaisuutta taikka häneen kohdistettuja hoitotoimenpiteitä tai niihin verrattavia toimia.

21. Henkilötietolain 12 §:n mukaan mitä 11 §:ssä säädetään, ei estä muun ohella tietojen käsittelyä, johon rekisteröity on antanut nimenomaisen suostumuksensa, tai uskonnollista, poliittista tai yhteiskunnallista vakaumusta koskevien tietojen käsittelyä tällaista vakaumusta edustavien yhdistysten ja muiden yhteisöjen toiminnassa, jos tiedot koskevat näiden yhdistysten tai yhteisöjen jäseniä taikka henkilöitä, joilla on niihin säännölliset, yhdistysten ja yhteisöjen tarkoituksiin liittyvät yhteydet, eikä tietoja luovuteta sivullisille ilman rekisteröidyn suostumusta.

22. Henkilötietolain 44 §:n mukaan tietosuojalautakunta voi tietosuojavaltuutetun hakemuksesta muun ohella kieltää tämän lain tai sen nojalla annettujen säännösten ja määräysten vastaisen henkilötietojen käsittelyn ja velvoittaa asianomaisen määräajassa oikaisemaan sen, mitä on oikeudettomasti tehty tai laiminlyöty.

3 Unionin oikeuden säännökset ja unionin tuomioistuimen oikeuskäytäntö

Tietosuojadirektiivi

23. Euroopan parlamentin ja neuvoston direktiivi 95/46/EY annettu 24 päivänä lokakuuta 1995, yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta (tietosuojadirektiivi)

24. Tietosuojadirektiivin perustelukappaleissa 10, 12, 26 ja 27 lausutaan seuraavaa:

10) Henkilötietojen käsittelyä koskevien kansallisten lainsäädäntöjen tavoitteena on taata perusoikeuksien ja -vapauksien kunnioittaminen, erityisesti yksityisyyttä koskevan oikeuden kunnioittaminen, joka tunnustetaan myös ihmisoikeuksien ja perusvapauksien suojaamiseksi tehdyn Euroopan yleissopimuksen 8 artiklassa ja yhteisön oikeuden yleisissä periaatteissa; tämän vuoksi lainsäädäntöjen lähentäminen ei saa johtaa lainsäädännöllä turvattavan tietosuojan heikentymiseen, vaan sillä on päinvastoin varmistettava tietosuojan korkea taso yhteisössä.

12) Tietosuojaa koskevia periaatteita on sovellettava kaikenlaiseen henkilötietojen käsittelyyn, siltä osin kuin henkilötietojen käsittelystä vastuussa olevan toiminta kuuluu yhteisön oikeuden soveltamisalaan; periaatteita ei sovelleta luonnollisen henkilön suorittamaan tietojenkäsittelyyn yksinomaan yksityisissä tai henkilökohtaisissa asioissa, joita ovat kirjeenvaihto tai osoitteiston pitäminen.

26) tietosuojaa koskevia periaatteita on sovellettava kaikkiin tunnistettua tai tunnistettavissa olevaa henkilöä koskeviin tietoihin; sen määrittämiseksi, onko henkilö tunnistettavissa, olisi otettava huomioon kaikki kohtuullisesti toteutettavissa olevat keinot, joita joko rekisterinpitäjä tai joku muu voi kyseisen henkilön tunnistamiseksi käyttää; tietosuojaa koskevia periaatteita ei sovelleta tietoihin, jotka on tehty anonyymeiksi siten, ettei rekisteröity enää ole tunnistettavissa; 27 artiklassa tarkoitettuja käytännesääntöjä voidaan käyttää ohjeena, kun pohditaan keinoja tietojen anonyymeiksi tekemistä varten ja niiden säilyttämiseksi muodossa, josta rekisteröidyn henkilöllisyys ei käy ilmi,

27) yksilöiden suojelua on sovellettava sekä automaattiseen että manuaaliseen tietojenkäsittelyyn; itse asiassa tietosuojan soveltamisala ei saa olla riippuvainen käytetystä tekniikasta, koska tällainen riippuvaisuus uhkaisi aiheuttaa vakavia väärinkäytöksiä; manuaalisen tietojenkäsittelyn osalta tämän direktiivin soveltamisalaan kuuluvat kuitenkin ainoastaan rekisterit, eivät järjestämättömät tiedot; erityisesti rekisterin sisällön on oltava erityisten yksilöitä koskevien perusteiden mukaan järjestetty, ja henkilötietojen on oltava helposti saatavilla; 2 artiklan c kohdassa olevan määritelmän mukaisesti kukin jäsenvaltio voi laatia järjestettyjen henkilötietojen määrittelyperusteet ja näiden tietojen saatavuutta sääntelevät perusteet; tämän direktiivin soveltamisalaan eivät missään tapauksessa kuulu sellaiset asiakirjat tai asiakirjojen kokonaisuudet kansilehtineen, joita ei ole järjestetty määriteltyjen perusteiden mukaisesti,

25. Tietosuojadirektiivin 2 artiklassa määritellään direktiivissä käytettyjä käsitteitä seuraavasti:

Artiklan c kohdan mukaan "henkilötietojen rekisteröintijärjestelmällä" ("rekisteröintijärjestelmä") tarkoitetaan kaikkia sellaisia järjestettyjä henkilötietojen kokoelmia, joista tiedot ovat saatavilla tietyin perustein, oli kokoelma sitten keskitetty, hajautettu tai toiminnallisin tai maantieteellisin perustein jaettu.

Artiklan d kohdan mukaan "rekisterinpitäjällä" tarkoitetaan luonnollista tai oikeushenkilöä, julkista viranomaista, virastoa tai muuta toimielintä, joka, yksin tai yhdessä toisten kanssa, määrittelee henkilötietojen käsittelyn tarkoituksen ja keinot; jos käsittelyn tarkoitus ja keinot määritellään kansallisilla tai yhteisön laeilla tai asetuksilla, rekisterinpitäjä tai erityiset perusteet rekisterinpitäjän nimeämiseksi voidaan vahvistaa kansallisten tai yhteisön säännösten mukaisesti.

26. Tietosuojadirektiivin 3 artiklan 1 kohdan mukaan direktiiviä sovelletaan osittain tai kokonaan automatisoituun tietojenkäsittelyyn sekä sellaisten henkilötietojen manuaaliseen käsittelyyn, jotka muodostavat rekisterin osan tai joiden on tarkoitus muodostaa rekisterin osa.

27. Tietosuojadirektiivin 3 artiklan 2 kohdan ensimmäisen kohdan mukaan direktiiviä ei sovelleta henkilötietojen käsittelyyn, joka suoritetaan sellaisessa toiminnassa, joka ei kuulu yhteisön oikeuden soveltamisalaan, kuten toiminta, josta on määrätty Euroopan unionista tehdyn sopimuksen V ja VI osastossa, ja kaikissa tapauksissa käsittely, joka koskee yleistä turvallisuutta, puolustusta, valtion turvallisuutta (myös valtion taloudellista hyvinvointia, kun käsittelyoperaatio on sidoksissa valtion turvallisuutta koskeviin kysymyksiin) ja rikosoikeuden alalla tapahtuvaa valtion toimintaa. Saman 2 kohdan toisen kohdan mukaan direktiiviä ei sovelleta henkilötietojen käsittelyyn, jonka luonnollinen henkilö suorittaa yksinomaan henkilökohtaisessa tai kotitalouttaan koskevassa toiminnassa.

28. Tietosuojadirektiivin 29 artiklan nojalla asetettu neuvoa-antava tietosuojatyöryhmä (WP 169) on 16.2.2010 antanut lausunnon ("Opinion 1/2010 on the concepts of "controller" and "processor"), jossa se on määritellyt rekisterinpitäjän käsitettä.

29. Euroopan parlamentti ja neuvosto ovat 27 päivänä huhtikuuta 2016 antaneet asetuksen (EU) 2016/679 luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus). Asetusta sovelletaan 25.5.2018 lähtien.

Unionin tuomioistuimen oikeuskäytäntö

30. Unionin tuomioistuin on asiassa C-101/01 Bodil Lindqvist antamassaan tuomiossa käsitellyt muun ohella tietosuojadirektiivin 95/46/EY soveltamisalaa. Tuomion mukaan (39 ja 48 kohdat) sellainen henkilötietojen käsittely, joka liittyy pääasiallisesti vapaaehtoistyöhön ja uskonnolliseen toimintaan, ei kuulu direktiivin 3 artiklan 2 kohdan ensimmäisessä luetelmakohdassa säädetyn poikkeuksen alaan.

31. Tietosuojadirektiivin 95/46/EY soveltamisalaa on käsitelty myös tuomiossa, joka on annettu yhdistetyissä asioissa C-465/00, C-138/00 ja C-139/00 Österreichischer Rundfunk. Tuomion mukaan (42 kohta) direktiivin sovellettavuus ei voi riippua siitä, onko pääasioissa kyseessä olevilla konkreettisilla tilanteilla riittävä liittymä perustamissopimuksella taattujen perusoikeuksien käyttämiseen ja kyseessä olevissa asioissa etenkin työntekijöiden vapaaseen liikkuvuuteen. Tuomiossa todetaan edelleen (43 kohta), että direktiivin sovellettavuus tilanteisiin, joilla ei ole suoraa liittymää perustamissopimuksella taattujen perustavanlaatuisten liikkumisvapauksien käyttämisen kanssa, vahvistetaan direktiivin 3 artiklan 1 kohdassa, jossa sen soveltamisala määritetään hyvin laajasti ja jossa suojasääntöjen soveltamista ei aseteta riippuvaiseksi siitä, onko käsittely tosiasiallisesti yhteydessä jäsenvaltioiden väliseen vapaaseen liikkuvuuteen.

32. Rekisterinpitäjän käsitettä on käsitelty asiaa C-131/12 Google koskevassa tuomiossa. Tuomion mukaan hakukoneen ylläpitäjää on pidettävä tietosuojadirektiivin 95/46/EY 2 artiklan d kohdassa tarkoitettuna rekisterinpitäjänä. Tuomion perustelujen (34 kohta) mukaan se, että hakukoneen ylläpitäjä jätettäisiin "rekisterinpitäjän" käsitteen soveltamisalan ulkopuolelle sillä perusteella, ettei sillä ole määräysvaltaa sivullisten internetsivuilla julkaistuihin henkilötietoihin, olisi ristiriidassa paitsi kyseisen säännöksen selkeän sanamuodon myös sen tavoitteen kanssa, jona on varmistaa rekisteröityjen tehokas ja kattava suojelu määrittelemällä kyseinen käsite laajasti.

33. Asiassa C-212/13 Ryneŝ on ollut kyse siitä, voidaanko yksityishenkilön omaisuutensa suojaksi asentaman kamerajärjestelmän käyttämisen katsoa olevan tietosuojadirektiivin 3 artiklan 2 kohdassa tarkoitettua henkilötietojen käsittelemistä, ’jonka luonnollinen henkilö suorittaa yksinomaan henkilökohtaisessa tai kotitalouttaan koskevassa toiminnassa’, vaikka tällaisella järjestelmällä valvotaan myös julkista tilaa. Tuomioistuin on todennut (28 kohta), että vakiintuneen oikeuskäytännön mukaan Euroopan unionin perusoikeuskirjan 7 artiklassa taattu yksityiselämän kunnioittamista koskevan perusoikeuden suoja edellyttää, että henkilötietojen suojaa koskevat poikkeukset ja rajoitukset on toteutettava täysin välttämättömän rajoissa. Tuomion mukaan (29 kohta) niitä direktiivin 95/46 säännöksiä, joilla säännellään henkilötietojen käsittelyä, joka saattaa loukata perusvapauksia ja varsinkin oikeutta yksityisyyteen, on välttämättä tulkittava perusoikeuksien valossa, jotka sisältyvät perusoikeuskirjaan, kyseisen direktiivin 3 artiklan 2 kohdan toisessa luetelmakohdassa säädettyä poikkeusta on tulkittava suppeasti.

4 Tii­vis­tel­mä asia­no­sais­ten kes­kei­sis­tä pe­rus­te­luis­ta

34. Tietosuojavaltuutettu on esittänyt saarnaamistyön yhteydessä harjoitettavaan tietojen keräämiseen liittyen muun ohella seuraavaa:

Saarnaamistyössä kerättävät tiedot muodostavat henkilörekisterin, koska niillä on sama käyttökartoitus ja niitä kirjataan ylös sen vuoksi, että niitä voidaan hyödyntää seuraavalla käyntikerralla muistin tukena.

Tietojen käsittelyn tarkoitus on julistamistoiminta yhdyskunnan toimintamuotona. Muistiinpanojen tekeminen ovelta ovelle -työssä on uskonnollisen yhdyskunnan tarkoin ohjeistamaa ja organisoimaa toimintaa, jota yksittäiset Jehovan todistajat tekevät. Yhdyskunnalla on tietojen keräämisen ja käsittelyn osalta tosiasiallinen määräysvalta.

Yhdyskunta ja saarnaamistyötä tekevät jäsenet ovat yhdessä rekisterinpitäjiä. Jos yhdyskuntaa ei pidettäisi rekisterinpitäjänä, olisi tietosuojavaltuutetun valvonta- ja ohjaustoiminta hyvin vaikeaa. Se myös vaikeuttaisi käyntien kohteena olevien kansalaisten yksityisyyden ja henkilötietojen suojan toteutumista.

35. Yhdyskunta on esittänyt tietojen keräämiseen liittyen muun ohella seuraavaa:

Saarnaamistyössä on kyse henkilökohtaisesta uskonnon harjoittamisesta. Saarnaamistyötä ja siihen liittyvää tietojen käsittelyä tehdään yhdyskunnan olemassaolosta riippumatta. Kerätyt tiedot ovat yhdyskunnan jäsenten henkilökohtaisia muistiinpanoja. Yhdyskunta ei kontrolloi muistiinpanojen tekemistä, vaikka se antaa suosituksia ja Raamatun jakeisiin perustuvaa hengellistä ohjausta siitä, että kristittyjen tulee osallistua evankelioimiseen ovelta ovelle. Tietoja ei luovuteta kenellekään eikä yhdyskunnalla ole pääsyä näihin muistiinpanoihin. Kerätyt tiedot eivät muodosta henkilörekisteriä eikä yhdyskunta ole rekisterinpitäjä.

Yhdyskunnan jäsenet päättävät itse, tekevätkö he muistiinpanoja ja jos tekevät, mitä tietoja he kirjaavat ylös ja missä muodossa. Käytössä ei ole järjestelmää, johon tietoja koottaisiin tai josta niitä olisi mahdollista hakea. Muistiinpanot tuhotaan niiden käytyä tarpeettomiksi. Kerätyt tiedot kuten nimi- ja osoitetiedot ovat saatavissa julkisista lähteistä kuten puhelinluetteloista.

5 Ennakkoratkaisupyynnön tarve

36. Oikeudenkäynnin kohteena olevan kysymyksen ratkaiseminen edellyttää sen ratkaisemista, kuuluuko edellä kuvattu tietojen käsittely henkilötietolain soveltamisalaan. Mikäli kyse on henkilötietolain soveltamisalaan kuuluvasta henkilötietojen käsittelystä, on ratkaistava, onko yhdyskuntaa yksin tai yhdessä yksittäisten jäsenten kanssa pidettävä henkilötietolaissa tarkoitettuna rekisterinpitäjänä.

37. Henkilötietolailla on saatettu voimaan tietosuojadirektiivi eikä lain esitöiden mukaan tarkoituksena ole ollut säätää lain soveltamisalaa tai henkilötietojen suojaa laajemmaksi kuin mitä direktiivi edellyttää. Lain soveltamisalaa ja laissa käytettyjä käsitteitä tulee siten tulkita yhdenmukaisesti direktiivin kanssa. Asian ratkaiseminen edellyttää siten tietosuojadirektiivin soveltamisalan ja siinä käytettyjen käsitteiden tulkitsemista.

38. Korkeimman hallinto-oikeuden käsityksen mukaan ovelta ovelle -saarnaamistyössä edellä kuvatulla tavalla kerättävät tiedot ovat tietosuojadirektiivin 2 artiklan a kohdassa tarkoitettuja henkilötietoja. Tätä ei ole kiistetty.

39. Edellä kuvatun unionin tuomioistuimen oikeuskäytännön (Bodil Lindqvist ja Österreichischer Rundfunk) perusteella korkein hallinto-oikeus pitää todennäköisenä, että nyt kyseessä oleva, uskonnon harjoittamiseen liittyvä tietojen kerääminen ja käsittely ei kuulu tietosuojadirektiivin 3 artiklan 2 kohdan ensimmäisessä luetelmakohdassa säädetyn poikkeuksen alaan.

40. Tietosuojadirektiivin tulkinnassa on epäselvää, onko 3 artiklan 2 kohdan toista luetelmakohtaa tulkittava siten, että uskonnollisen yhdyskunnan jäsenten ovelta ovelle -saarnaamistyö, jonka yhteydessä henkilötietojen käsittelyä suoritetaan, on yksinomaan henkilökohtaista tai kotitaloutta koskevaa toimintaa. Mikä merkitys mainitun luetelmakohdan tulkinnassa on annettava sille, että toiminta, jonka yhteydessä tietoja kerätään, on edellä kuvatulla tavalla uskonnollisen yhdyskunnan koordinoimaa? Direktiivin korvaavan tietosuoja-asetuksen määritelmä vastaa direktiiviä. Asetuksen johdantokappaleen kohdassa 18 todetaan tosin muun ohella seuraavaa: Tätä asetusta ei sovelleta luonnollisen henkilön suorittamaan henkilötietojen käsittelyyn toiminnassa, joka on yksinomaan henkilökohtaista tai kotitaloutta koskevaa toimintaa ja joka näin ollen ei ole sidoksissa mihinkään ammatilliseen tai kaupalliseen toimintaan.

41. Saarnaamistyön yhteydessä tehtävä tietojen kerääminen ja sen tarkoitus muistuttaa osin osoitteiston pitämistä, joka on mainittu tietosuojadirektiivin 12 perustelukappaleessa esimerkkinä 3 artiklan 2 kohdan toisessa luetelmakohdassa tarkoitetusta tietojenkäsittelystä. Kerättävien tietojen tietosisältö voi kuitenkin olla laajempi kuin osoitteiston; nimi- ja osoitetietojen ohella voidaan kerätä muun muassa arkaluonteisia tietoja henkilön uskonnollisesta vakaumuksesta. Yksityishenkilöiden ylläpitämät tavanomaiset osoitteistot eivät myöskään sisällä vieraiden ihmisten tietoja. Tietojen käsittely tapahtuu yhdyskunnan jäsenten henkilökohtaiseen uskonnonharjoittamiseen liittyvässä toiminnassa. Toisaalta tämä toiminta eli ovelta ovelle tehtävä saarnaamistyö on uskonnollisen yhdyskunnan olennainen toimintamuoto, jota yhdyskunta ja sen seurakunnat organisoivat.

42. Asian arvioinnissa on unionin perusoikeuskirjan 8 artiklan 1 ja 2 kohdissa sekä Euroopan ihmisoikeussopimuksessa ja Suomen perustuslaissa turvatun henkilötietojen ja yksityiselämän suojan ohella otettava huomioon myös unionin perusoikeuskirjan 10 artiklan 1 kohta sekä Euroopan ihmisoikeussopimuksessa ja Suomen perustuslaissa turvattuun uskonnonvapauteen ja yhdistymisvapauteen liittyvät seikat. Uskonnollinen yhdyskunta on viitannut Euroopan ihmisoikeustuomioistuimen ratkaisuun vuodelta 2010 (Jehowa's wittnesses v. Russia).

43. Asiassa saadun selvityksen perusteella nyt kyseessä olevia henkilötietoja käsitellään manuaalisesti. Tietosuojadirektiivin soveltaminen manuaaliseen henkilötietojen käsittelyyn edellyttää 3 artiklan 1 kohdan mukaan, että tiedot muodostavat tai niiden on tarkoitus muodostaa rekisterin osa. Direktiivin 2 artiklan c kohdan määritelmän mukaan rekisteröintijärjestelmä on sellainen järjestetty henkilötietojen kokoelma, josta tiedot ovat saatavilla tietyin perustein. Suomen henkilötietolain 3 §:n 1 momentin 3 kohdan määritelmän mukaan tällöin edellytetään nimenomaan kortistoa, luetteloa tai muuta näihin verrattavaa tapaa, jolla henkilöä koskevat tiedot voidaan löytää helposti ja kohtuuttomitta kustannuksitta. Rekisteröintijärjestelmän käsitteen osalta direktiivin tulkinnassa on epäselvää, muodostaako edellä kuvattu henkilötietojen manuaalisesti ylläpidetty kokoelma direktiivissä tarkoitetun rekisteröintijärjestelmän.

44. Koska tietoja ei yhdyskunnan ilmoituksen mukaan luovuteta yhdyskunnalle, ei käsiteltävien tietojen laadusta ja määrästä ole varmuutta. Saarnaamistyötä tekevät jäsenet voivat yhdyskunnan mukaan päättää itsenäisesti, keräävätkö he tietoja, mitä tietoja kerätään ja missä muodossa tietoja kerätään. Vaikka tietojen käsittelytapa voi vaihdella, voidaan saarnaamistyön yhteydessä muistin tueksi kerättävien tietojen keräämisen ja käsittelyn yhteisenä tarkoituksena katsoa olevan tiettyä henkilöä tai osoitetta koskevien tietojen löytäminen myöhempää käyttöä varten. Asiassa saadun selvityksen perusteella tietoja ei kuitenkaan ole järjestetty esimerkiksi kortistoksi. Ovatko tiedot tietosuojadirektiivin 2 artiklan c kohdassa tarkoitetulla tavalla saatavilla tietyin perustein, kun osoitteen perusteella on löydettävissä tietyssä osoitteessa asuvaa henkilöä koskevat muistiinpanot?

45. Jos käsillä olevassa asiassa tarkoitetun tietojen käsittelyn katsotaan kuuluvan tietosuojadirektiivin soveltamisalaan, on ratkaistava, onko uskonnollista yhdyskuntaa yksin tai yhdessä yhdyskunnan saarnaamistyötä tekevien jäsenten kanssa pidettävä direktiivin 2 artiklan d kohdassa tarkoitettuna rekisterinpitäjänä. Rekisterinpitäjän käsitteen tulkinnan osalta on epäselvää, voidaanko yhdyskuntaa pitää rekisterinpitäjänä sillä perusteella, että yhdyskunta organisoi ovelta ovelle -saarnaamistyötä ja kannustaa jäseniään tähän työhön, jonka yhteydessä tietoja kerätään, ja on lisäksi julkaisussaan ohjeistanut tietojen keräämistä saarnaamistyön yhteydessä.

46. Asiassa C-131/12 Google annetun tuomion perusteella voidaan todeta, että rekisterinpitäjän käsite on unionin oikeuskäytännössä määritelty laajasti. Unionin tietosuojatyöryhmän (WP 29) lausunnon (1/2010) mukaan rekisterinpitäjä on yksilö tai yksikkö, joka määrittää henkilötietojen käsittelyn tarkoituksen ja keinot. Lausunnon mukaan rekisterinpitäjän määrittelyssä merkitystä on tosiasiallisella määräysvallalla sekä sillä, mikä on rekisteröityjen käsitys rekisterinpitäjästä. Lausunnon mukaan merkitystä on myös sillä, tapahtuisiko tietojen käsittelyä rekisterinpitäjän tahdosta riippumatta.

47. Nyt käsillä olevassa asiassa tietosuojavaltuutettu on esittänyt, että yhdyskunnalla on tosiasiallinen valta määritellä tietojen käsittelyn tavat sekä kieltää tai rajoittaa käsittelyä. Yhdyskunta organisoi saarnaamistyötä, jonka yhteydessä tietoja kerätään (aluekartat, julistajakortit, kieltorekisteri), ja kannustaa jäseniään osallistumaan tähän toimintaan. Yhdyskunta on aiemmin määritellyt tietojen käsittelyn tarkoitusta ja keinoja ohjeistamalla tietojen keräämistä. Aiemmin käytössä olleet lomakkeet myös osoittavat yhdyskunnan vahvan roolin tietojen käsittelyssä.

48. Toisaalta yhdyskunnan rooli rekisterinpitäjänä voidaan kyseenalaistaa siksi, että asiassa saadun selvityksen perusteella jäsenet voivat itse päättää, mitä tietoja kerätään ja missä muodossa ja miten tietoja käytetään. Yhdyskunta ei kieltorekisteriä lukuun ottamatta kerää tietoja itselleen eikä sillä ole pääsyä tietoihin. Yhdyskunnalla ei ole automatisoitua tietojenkäsittelyjärjestelmää tai kortistoa, josta tietoja olisi mahdollista hakea. Yhdyskunnan kertoman mukaan jäsenet harjoittaisivat evankelioimistyötä ja tekisivät siitä muistiinpanoja, vaikka yhdyskuntaa ei olisi tai se ei siihen ohjeistaisi.

49. Rekisterinpitäjän käsitteen tulkinnan kannalta on epäselvää, edellyttääkö yhdyskunnan pitäminen rekisterinpitäjänä tietosuojadirektiivin 2 artiklan d kohdan mukaan yhdyskunnalta muita nimenomaisia toimia, kuten käskyjä tai kirjallisia ohjeita, joilla se ohjaa tietojen keräämistä vai onko riittävää se, että yhdyskunnalla voidaan katsoa olevan tosiasiallinen asema jäsentensä toiminnan ohjaamisessa.

50. Vaikka jäsenet osaltaan hoitavat rekisterinpitäjälle kuuluvia tehtäviä, on otettava huomioon, että tietosuojadirektiivin ja henkilötietolain mukaan rekisterinpitäjiä voi olla useita ja niillä voi olla erilaisia tehtäviä ja vastuita.

51. Korkeimmalla hallinto-oikeudella ei ole tiedossa unionin tuomioistuimen ennakkoratkaisua tietosuojadirektiivin soveltamisalan ja rekisterinpitäjän käsitteen tulkinnasta edellä kuvatussa tilanteessa. Koska vireillä olevan asian ratkaiseminen edellyttää mainittujen direktiivin säännösten tulkintaa, asiassa on tarpeen pyytää ennakkoratkaisu unionin tuomioistuimelta.

52. Mikäli unionin tuomioistuin katsoo, että käsillä olevassa asiassa tarkoitettu tietojen käsittely ei kuulu tietosuojadirektiivin soveltamisalaan, ei sen luonnollisesti ole tarpeen esittää tulkintakannanottoa direktiivin 2 artiklan d kohdassa säädettyä rekisterinpitäjän määritelmää koskeviin kysymyksiin.

53. Uskonnolliselle yhdyskunnalle ja tietosuojavaltuutetulle on varattu tilaisuus lausua ennakkoratkaisun pyytämisestä unionin tuomioistuimelta.

6 Korkeimman hallinto-oikeuden välipäätös ennakkoratkaisun pyytämisestä unionin tuomioistuimelta

54. Korkein hallinto-oikeus on päättänyt lykätä asian käsittelyä ja pyytää unionin tuomioistuimelta Euroopan unionin toiminnasta tehdyn sopimuksen 267 artiklan nojalla ennakkoratkaisun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY (tietosuojadirektiivi) tulkinnasta. Ennakkoratkaisun pyytäminen on tarpeen korkeimmassa hallinto-oikeudessa vireillä olevan asian ratkaisemiseksi.

7 Ennakkoratkaisukysymykset

1. Onko tietosuojadirektiivin 3 artiklan 2 kohdan kahdessa luetelmakohdassa säädettyjä soveltamisalaa koskevia poikkeuksia tulkittava siten, että henkilötietojen kerääminen ja muu käsittely, jota uskonnollisen yhdyskunnan jäsenet suorittavat ovelta ovelle -saarnaamistyön yhteydessä, ei kuulu direktiivin soveltamisalaan? Mikä merkitys direktiivin sovellettavuutta arvioitaessa on toisaalta sillä, että saarnaamistoiminta, jonka yhteydessä tietoja kerätään, on uskonnollisen yhdyskunnan ja sen seurakuntien organisoimaa, ja toisaalta sillä, että kyse on samalla myös uskonnollisen yhdyskunnan jäsenten henkilökohtaisesta uskonnon harjoittamisesta?

2. Onko tietosuojadirektiivin 2 artiklan c kohdassa tarkoitettua rekisteröintijärjestelmän määritelmää direktiivin perustelukappaleet 26 ja 27 huomioon ottaen tulkittava siten, että edellä kuvatun ovelta ovelle -saarnaamistyön yhteydessä manuaalisesti kerättävien henkilötietojen kokonaisuus (nimi- ja osoitetiedot sekä muut mahdolliset henkilöä koskevat tiedot ja luonnehdinnat),

a) ei muodosta tällaista rekisteröintijärjestelmää sen vuoksi, että siihen ei Suomen henkilötietolain määritelmässä esitetyin tavoin liity nimenomaista kortistoa tai luetteloa tai niihin rinnastuvaa hakua palvelevaa järjestelyä; vai

b) muodostaa tällaisen rekisteröintijärjestelmän sen vuoksi, että tiedoista voidaan, niiden käyttötarkoitus huomioon ottaen, Suomen henkilötietolaissa edellytetyin tavoin tosiasiallisesti helposti ja kohtuuttomitta kustannuksitta hakea myöhempää käyttöä varten tarvittavat tiedot?

3. Onko tietosuojadirektiivin 2 artiklan d kohdan lausetta "... joka, yksin tai yhdessä toisten kanssa, määrittelee henkilötietojen käsittelyn tarkoituksen ja keinot...", tulkittava siten, että uskonnollista yhdyskuntaa, joka organisoi toimintaa, jonka yhteydessä henkilötietoja kerätään (muun muassa jakamalla toiminta-alueita saarnaajien kesken, seuraamalla saarnaajien työtä sekä pitämällä rekisteriä henkilöistä, jotka eivät halua saarnaajien käyvän luonaan), voidaan pitää sen jäsenten harjoittaman henkilötietojen käsittelyn osalta rekisterinpitäjänä, vaikka yhdyskunnan kertoman mukaan vain yksittäisillä julistajilla on pääsy kirjaamiinsa tietoihin?

4. Onko mainittua d kohtaa tulkittava siten, että yhdyskunnan pitäminen rekisterinpitäjänä edellyttää yhdyskunnalta muita nimenomaisia toimia, kuten käskyjä tai kirjallisia ohjeita, joilla se ohjaa tietojen keräämistä vai onko riittävää se, että yhdyskunnalla katsotaan olevan tosiasiallinen asema jäsentensä toiminnan ohjaamisessa?

Kysymyksiin 3 ja 4 on tarpeen vastata vain, jos kysymyksiin 1 ja 2 annettujen vastausten perusteella direktiiviä on sovellettava. Kysymykseen 4 on tarpeen vastata vain, jos kysymyksen 3 perusteella ei voida pitää poissuljettuna mahdollisuutta soveltaa direktiivin 2 artiklan d kohtaa yhdyskuntaan.

Saatuaan unionin tuomioistuimen ratkaisun korkein hallinto-oikeus antaa lopullisen päätöksen asiassa.

Asian ovat ratkaisseet hallintoneuvokset Riitta Mutikainen, Hannu Ranta, Tuomas Lehtonen, Mika Seppälä ja Elina Lampi-Fagerholm. Asian esittelijä Liisa Selvenius-Hurme.

 
Julkaistu 22.12.2016