8.2.2007

Asian aikaisempi käsittely

1. Tietosuojaviranomaisina Suomessa toimivat tietosuojavaltuutettu ja tietosuojalautakunta (alaviite 1). Ne valvovat henkilötietojen käsittelyä ja käyttävät päätäntävaltaa siten kuin henkilötietolaissa (alaviite 2) säädetään.

2. Tietosuojavaltuutettu on ryhtynyt selvittämään Satakunnan Markkinapörssi Oy:n ja Satamedia Oy:n henkilötietojen käsittelyä yksityisten henkilöiden kantelujen johdosta. Kanteluissa henkilöt ovat ilmoittaneet, että heidän yksityisyyttään on loukattu.

3. Tietosuojavaltuutettu on hakemuksessaan 10.3.2004 tietosuojalautakunnalle vaatinut, että tietosuojalautakunta kieltää sakon uhalla:

a) Satakunnan Markkinapörssi Oy:tä
- keräämästä ja tallentamasta tai muutoin käsittelemästä luonnollisia henkilöitä koskevia verotettavia ansio- ja pääomatuloja sekä varallisuustietoja siinä laajuudessa ja tavalla, kun se on tapahtunut vuoden 2001 verotustietojen osalta sekä
- luovuttamasta keräämiään ja toimitukselliseksi väitettyyn rekisteriin tallettamiaan edellä mainittuja henkilötietoja tekstiviestipalveluun tai muuhunkaan tarkoitukseen.

b) Satamedia Oy:tä keräämästä ja tallettamasta sekä luovuttamasta edelleen tekstiviestipalveluun tai muuhun tarkoitukseen Satakunnan Markkinapörssi Oy:n rekisteristä saatuja henkilötietoja.

4. Tietosuojavaltuutettu on hakemuksessaan todennut, että Satakunnan Markkinapörssi Oy on kerännyt ja julkaissut vuosittain Veropörssi -nimisessä painotuotteessa tietoja noin 1 200 000 luonnollisen henkilön verotettavista ansio- ja pääomatuloista sekä varallisuustiedoista. Vuoden 2003 alussa Satamedia Oy on ryhtynyt tarjoamaan tekstiviestipalveluja, jossa matkapuhelimen käyttäjät voivat kysellä yksityisiä henkilöitä koskevia, Veropörssi-lehdessä julkaistuja ansio- ja pääomatulotietoja sekä varallisuustietoja ja saada tiedot paluuviestinä matkapuhelimeensa.

5. Tietosuojalautakunta on hylännyt tietosuojavaltuutetun hakemuksen (alaviite 3). Päätöksen perustelujen mukaan perustuslaissa turvattuun sananvapauteen sisältyy oikeus ilmaista, julkistaa ja vastaanottaa tietoja kenenkään ennakolta estämättä. Ennakkoesteiden kiellon piiriin kuuluvat kaikki ennakollista estettä merkitsevät puuttumiset sananvapauteen. Satakunnan Markkinapörssi Oy on käsitellyt tietoja toimituksellisessa tarkoituksessa henkilötietolain 2 §:n 5 momentissa tarkoitetulla tavalla. Henkilötietojen käsittelyyn toimituksellista tarkoitusta varten tulee sovellettavaksi tietojen suojaamista koskeva lain 32 §. Suojaamisvelvollisuus koskee kuitenkin ainoastaan niitä toimitukselliseen rekisteriin sisältyviä tietoja, joita ei ole julkaistu. Henkilötietolakia ei lain 2 §:n 4 momentin mukaan sovelleta henkilörekistereihin, jotka sisältävät vain tiedotusvälineissä julkaistua aineistoa sellaisenaan. Satamedia Oy:lle luovutettu henkilörekisteri sisältää vain tiedotusvälineissä julkaisua aineistoa sellaisenaan. Näin ollen henkilötietolakia ei sovelleta luovutettuun henkilörekisteriin.

6. Helsingin hallinto-oikeus on hylännyt tietosuojavaltuutetun tietosuojalautakunnan päätöksestä tekemän valituksen (alaviite 4). Hallinto-oikeus on perustellut päätöstään muun ohella sillä, että henkilötietolakia säädettäessä on tehty arviointi yksityisyyden suojan ja sananvapauden välillä ja katsonut, että verotustietojen julkisuudella on merkitystä arvioitaessa yksityiselämän ja yksityisyyden suojan tarpeen astetta ja laajuutta. Hallinto-oikeus on katsonut, että henkilötietolain sääntely vastaa direktiivin 95/46/EY (alaviite 5) lähtökohtia ja sisältöä.

7. Hallinto-oikeus on katsonut, että Satakunnan Markkinapörssi Oy on käsitellyt tietoja toimituksellisessa tarkoituksessa. Henkilötietolaissa säädetty tietojen suojaamisvelvollisuus ei koske tiedotusvälineissä jo julkaistun tiedon julkaisemista sellaisenaan. Julkaistun aineiston osalta sovellettavaksi tulevat jälkikäteiset oikeussuojakeinot yksityisyyden suojan toteuttamiseksi. Merkitystä ei ole sillä, käyttääkö Satamedia Oy saamiaan julkaistuja tietoja toimituksellisessa tai muussa tarkoituksessa. Henkilötietolaki ei sovellu Satamedia Oy:lle CD-ROM-levyllä luovutettuun julkaistuun aineistoon.

Asian käsittely korkeimmassa hallinto-oikeudessa

8. Tietosuojavaltuutettu on valituksessaan korkeimpaan hallinto-oikeuteen vaatinut, että edellä mainittu hallinto-oikeuden päätös kumotaan ja Satakunnan Markkinapörssi Oy:n ja Satamedia Oy:n henkilötietojen käsittely kielletään tietosuojavaltuutetun edellä kohdassa 3. selostetun hakemuksen mukaisesti.

9. Tietosuojavaltuutettu on korkeimmassa hallinto-oikeudessa todennut, että asiassa on kysymys direktiivin 95/46/EY ja henkilötietolain tarkoittamasta henkilötietojen käsittelystä. Henkilötietolaissa mainittu toimituksellinen tarkoitus osoittaa, että laissa on huomioitu sananvapaus. Toimituksellista tarkoitusta koskeva poikkeussäännös soveltuu kuitenkin ainoastaan, jos henkilötietojen käsittely tapahtuu toimituksellisessa tarkoituksessa. Koska kysymys on poikkeuksesta yksityisyyden suojaan, on poikkeukselle asetettava tiukat edellytykset.

10. Henkilötietojen käsittelyä koskevassa sääntelyssä ei ole kysymys julkisuudesta vaan yksityisyyden suojaamisesta henkilötietojen käsittelyssä, tapahtuupa käsittely yksityisessä tai viranomaisen toiminnassa. Viranomaisten toiminnan julkisuudesta annettu laki (alaviite 6) (jäljempänä julkisuuslaki) turvaa oikeutta saada tieto viranomaisen asiakirjasta, mutta julkisuus ei luo sellaisenaan oikeutta tietojen käsittelyyn. Sellaisia henkilötietoja, jotka yritys on kerännyt nähtäväksi saamistaan julkisista henkilörekistereistä, voidaan käsitellä vain henkilötietolaissa säädetyin edellytyksin. Jos toimitukselliseen tarkoitukseen saadut henkilötiedot voidaan sellaisenaan julkaista, kuten nyt on tapahtunut, tilanne muodostuu lain tavoitteiden vastaiseksi. Satakunnan Markkinapörssi Oy julkaisee Veropörssipainotuotetta vain verotustietojen julkaisemisen tarkoituksessa.

11. Tietosuojavaltuutetun mukaan esillä olevassa tapauksessa myöskään laissa asetettu suojaamisvaatimus ei täyty perustuslain yksityiselämän suojan, direktiivin 95/46/EY eikä henkilötietolain edellyttämällä tavalla. Direktiivin ja henkilötietolain tavoitteiden mukaista ei ole voinut olla jättää yksityiselämän suojan turvaaminen pelkästään jälkikäteisvalvonnan varaan.

12. Tietosuojavaltuutettu on pitänyt ennakkoratkaisupyynnön esittämistä yhteisöjen tuomioistuimelle tarpeellisena. Kansallista lakia tulee tulkita direktiivin mukaisesti. Direktiivi 95/46/EY oikeuttaa poikkeamaan direktiivin määräyksistä vain journalistista tarkoitusta varten. Direktiivin tarkoittaman journalistisen käyttötarkoituksen tulee olla muuta kuin henkilötietojen keräämistä julkaisutarkoitusta varten. Toimitukselliseen työhön voidaan luovuttaa henkilötietoja nimenomaan toimituksellisen työn tausta-aineistoksi, ei julkaistavaksi sellaisenaan ilman "toimittamista" eikä edelleen luovutettavaksi. Tietosuojavaltuutetulta on tiedusteltu useista hankkeista, joiden tarkoituksena on ryhtyä nykyteknologialla hyödyntämään ja myymään henkilötietoja vastaavantyyppisillä toimintatavoilla. Tämän vuoksi asialla on myös laajempaa periaatteellista merkitystä.

13. Satakunnan Markkinapörssi Oy ja Satamedia Oy ovat pyytäneet, että valitus hylätään. Ne ovat korostaneet sitä, että tiedot verotettavan tulon ja varallisuuden määrästä on Suomessa säädetty julkisiksi siten, että kenellä tahansa on oikeus saada niistä tieto. Verotietojen julkaisemisen on katsottu mahdollistavan verohallinnon toimintaan kohdistuvan valvonnan sekä osallistumisen verotuksen kehittämistä koskevaan julkiseen keskusteluun. Verotietoja ovat vakiintuneesti julkaisseet monet julkaisut ja sanomalehdet. Satakunnan Markkinapörssi Oy on julkaissut Veropörssilehteä yli 10 vuoden ajan. Tulo- ja varallisuusverotus sekä kyseisten tietojen julkisuus tai julkaiseminen eivät kuulu direktiivin 95/46/EY eikä yhteisön oikeuden soveltamisalaan. Direktiivin 95/46/EY 3 artiklan 2 kohdan mukaan direktiiviä ei sovelleta tällaiseen tietojen käsittelyyn. Asiaa ei näin ollen tule arvioida myöskään direktiivin tarkoittamien riittävien oikeusturvatakeiden näkökulmasta. Yhteisön oikeus eikä myöskään Suomen lainsäädäntö anna tukea tiedotusvälineiden julkaisutoiminnan ennakolliselle rajoittamiselle.

14. Yhtiöt ovat viitanneet verotietojen julkisuudesta ja salassapidosta annetun lain hallituksen esityksen perusteluihin (alaviite 7) ja katsoneet, että julkisuuslainsäädäntö syrjäyttää henkilötietolain säännökset. Asiassa on kysymys sananvapauden käyttämisestä. Julkaistaviin tietoihin ei tule kohdistaa tietosuojalainsäädännön mukaisia etukäteisiä valvonta- tai rajoituskeinoja. Tietosuojavaltuutetun kieltopyynnössä on kysymys tiedotusvälineen sisällön ennakollisesta kieltämisestä. Tietojen kerääminen julkaistavaksi on joka tapauksessa henkilötietolain 2 §:n 5 momentin tarkoittamaa henkilötietojen käsittelyä toimituksellisessa tarkoituksessa. Veropörssi-lehden julkaisukriteeri on ollut tulorajan asettaminen. Tuloraja on vaihdellut kuntakohtaisesti. Rajan asettaminen on perustunut toimitustyössä käytettyyn harkintaan. Tällä on pyritty mahdollistamaan elinkeinorakenteeltaan erilaisten kuntien vertailu. Julkaiseminen mahdollistaa edelleen esimerkiksi samapalkkaisuuden arvioimisen sukupuolten välisen tasa-arvon näkökulmasta.

15. Satamedia Oy:n tekstiviestipalvelun tietokantaan tiedot sisältyvät sellaisina kuin ne on julkaistu Veropörssi-lehdessä. Henkilötietolaki ei tule sovellettavaksi kyseiseen tietokantaan henkilötietolain 2 §:n 4 momentin mukaisesti. Tietosuojan kannalta ei voi myöskään olla vahingollista, että tietokannasta on pyynnöstä poistettu verotietoja. Maksu poistamisesta on pyydetty kustannusten kattamiseksi. Maksun suorittaminen ei kuitenkaan ole ollut poistamisen edellytys. Ratkaisevaa ei yhtiöiden käsityksen mukaan ole, minkälaisia hakuja rekisteristä voidaan tehdä ja saada.

Kansallinen lainsäädäntö

Perusoikeudet

16. Perusoikeuksien suojasta säädetään Suomen perustuslain 2 luvussa. Perusoikeuksina on turvattu sekä yksityiselämän suoja että sananvapaus ja julkisuus. Yksityiselämän suojaa koskee perustuslain 10 §:n 1 momentti (alaviite 8), joka kuuluu seuraavasti:

"Jokaisen yksityiselämä, kunnia ja kotirauha on turvattu. Henkilötietojen suojasta säädetään tarkemmin lailla."

17. Sananvapautta ja julkisuutta koskeva perustuslain 12 § kuuluu seuraavasti:

"Jokaisella on sananvapaus. Sananvapauteen sisältyy oikeus ilmaista, julkistaa ja vastaanottaa tietoja, mielipiteitä ja muita viestejä kenenkään ennakolta estämättä. Tarkempia säännöksiä sananvapauden käyttämisestä annetaan lailla. Lailla voidaan säätää kuvaohjelmia koskevia lasten suojelemiseksi välttämättömiä rajoituksia.

Viranomaisen hallussa olevat asiakirjat ja muut tallenteet ovat julkisia, jollei niiden julkisuutta ole välttämättömien syiden vuoksi lailla erikseen rajoitettu. Jokaisella on oikeus saada tieto julkisesta asiakirjasta ja tallenteesta."

Julkisuuslainsäädäntö

18. Tarkemmat säännökset asiakirjojen julkisuudesta on annettu julkisuuslaissa. Lain 1 §:ssä ilmaistun pääsäännön mukaan viranomaisen asiakirjat ovat julkisia. Lain 24 §:n 1 momentin 23 kohdan mukaan salassa pidettäviä ovat muun ohella asiakirjat, jotka sisältävät tietoja henkilön vuosituloista tai kokonaisvarallisuudesta taikka jotka muutoin kuvaavat hänen taloudellista asemaansa.

19. Verotustietojen julkisuudesta on kuitenkin säädetty erillisessä laissa verotustietojen julkisuudesta ja salassapidosta (alaviite 9). Laki on ensisijainen suhteessa julkisuuslakiin ja henkilötietolakiin. Lain 2 ja 3 § kuuluvat seuraavasti:

2 §: "Verotusasiakirjoihin ja -tietoihin sovelletaan viranomaisten toiminnan julkisuudesta annetun lain (621/1999) ja henkilötietolain (523/1999) säännöksiä, ellei tässä tai muussa laissa toisin säädetä."

3 §: "Verotustiedot ovat julkisia siten kuin tässä laissa säädetään. Jokaisella on oikeus saada tieto julkisesta verohallinnon hallussa olevasta verotusasiakirjasta siten kuin viranomaisten toiminnan julkisuudesta annetussa laissa säädetään, jollei tästä laista muuta johdu."

20. Lain 5 §:n 1 momentin (alaviite 10) mukaan vuosittain toimitetussa tuloverotuksessa julkisia verotustietoja ovat verovelvollisen nimi, syntymävuosi ja kotikunta. Lisäksi julkisia ovat muun ohella tiedot:

1. valtionverotuksessa verotettavasta ansiotulosta
2. valtionverotuksessa verotettavasta pääomatulosta ja varallisuudesta;
3. kunnallisverotuksessa verotettavasta tulosta;
4. tulo- ja varallisuusverosta, kunnallisverosta sekä maksuunpantujen verojen ja maksujen yhteismäärästä.

21. Edellä mainitut tiedot ovat julkisia verotuksen päättymishetken mukaisina ja tulevat julkisiksi verotusvuotta seuraavan kalenterivuoden marraskuun alusta (alaviite 11).

22. Verotustietojen luovuttamiseen sovelletaan julkisuuslakia. Julkisuuslain 9 §:n mukaan jokaisella on oikeus saada tieto viranomaisen asiakirjasta, joka on julkinen. Lain 16 §:ssä on säädetty asiakirjan antamistavoista. Sen mukaan viranomaisen asiakirjan sisällöstä annetaan tieto suullisesti taikka antamalla asiakirja viranomaisen luona nähtäväksi ja jäljennettäväksi tai kuunneltavaksi tai antamalla siitä kopio tai tuloste. Näin ollen jokainen voi esimerkiksi veroviranomaisen luona tutustua julkisiin verotustietoihin. Julkisuuslain 16 §:n 3 momentissa on säädetty edellytyksistä, joilla tietoja voidaan luovuttaa viranomaisen henkilörekisteristä :

"Viranomaisen henkilörekisteristä saa antaa henkilötietoja sisältävän kopion tai tulosteen tai sen tiedot sähköisessä muodossa, jollei laissa ole toisin erikseen säädetty, jos luovutuksensaajalla on henkilötietojen suojaa koskevien säännösten mukaan oikeus tallettaa ja käyttää sellaisia henkilötietoja. Henkilötietoja saa kuitenkin luovuttaa suoramarkkinointia ja mielipide- tai markkinatutkimusta varten vain, jos niin erikseen säädetään tai jos rekisteröity on antanut siihen suostumuksensa."

Henkilötietojen suojaa koskeva lainsäädäntö

23. Direktiivi 95/46/EY on pantu Suomessa täytäntöön henkilötietolailla (alaviite 12). Lain soveltamisalasta säädetään sen 2 §:ssä seuraavasti:

"Henkilötietoja käsiteltäessä on noudatettava, mitä tässä laissa säädetään, jollei muualla laissa toisin säädetä.

Tätä lakia sovelletaan henkilötietojen automaattiseen käsittelyyn. Myös muuhun henkilötietojen käsittelyyn sovelletaan tätä lakia silloin, kun henkilötiedot muodostavat tai niiden on tarkoitus muodostaa henkilörekisteri tai sen osa.

Tämä laki ei koske henkilötietojen käsittelyä, jonka luonnollinen henkilö suorittaa yksinomaan henkilökohtaisiin tai niihin verrattaviin tavanomaisiin yksityisiin tarkoituksiinsa.

Tätä lakia ei sovelleta henkilörekistereihin, jotka sisältävät vain tiedotusvälineessä julkaistua aineistoa sellaisenaan.

Henkilötietojen käsittelyä toimituksellisia sekä taiteellisen tai kirjallisen ilmaisun tarkoituksia varten koskevat soveltuvin osin ainoastaan 1-4 ja 32 §, 39 §:n 3 momentti, 40 §:n 1 ja 3 momentti, 42 §, 44 §:n 2kohta, 45-47 §, 48 §:n 2 momentti sekä 50 ja 51 §, jollei 17 §:stä muuta johdu."

24. Esillä olevan asian kannalta keskeinen lain säännös on edellä ilmenevä 2 §:n 4 momentti, jossa kokonaan henkilötietolain soveltamisalan ulkopuolelle on jätetty sellaiset henkilörekisterit, jotka sisältävät vain tiedotusvälineissä julkaistua aineistoa sellaisenaan. Lakia koskevassa hallituksen esityksessä (alaviite 13) viitataan tältä osin siihen, että yksityisyyden suojaa joukkotiedotusvälineiden toiminnassa on perinteisesti pyritty turvaamaan muun ohella rikoslain yksityiselämän loukkausta koskevalla säädöksellä. Tämä erityissääntely riittää turvaamaan henkilön yksityiselämän ja yksityisyyden suojan henkilötietolain tavoitteiden edellyttämällä tavalla.

25. Esillä olevan asian kannalta on niin ikään keskeinen lain 2 §:n 5 momentti, joka koskee toimituksellisia rekistereitä. Toimituksellisella rekisterillä tarkoitetaan hallituksen esityksestä ilmenevien lainkohdan perustelujen (alaviite 14) mukaan sellaista henkilörekisteriä, jotka on tarkoitettu käytettäväksi yksinomaan tiedotusvälineen toimitustyössä ja jotka eivät ole muiden käytettävissä.

26. Toimituksellisiin rekistereihin tulevat henkilötietolain 2 §:n 5 momentin mukaan sovellettavaksi vain seuraavat henkilötietolain säännökset: 1 § (lain tarkoitus), 2 § (soveltamisala), 3 § (määritelmät), 4 § (Suomen lain soveltaminen), 32 § (tietojen suojaaminen), 39 §:n 3 momentti (tietojen suojaamisvelvollisuuden valvonta), 40 §:n 1 ja 3 momentti (hyvän tietosuojatavan edistäminen, tietosuojavaltuutetun ohjeet ja neuvot siitä, miten henkilötiedot on suojattava), 42 § (toimialakohtaiset käytännesäännöt), 44 §:n 2 kohta (tietosuojalautakunnan toimivalta velvoittaa muissa kuin 40 §:n 2 momentissa tarkoitetuissa asioissa asianomainen oikaisemaan sen, mitä on oikeudettomasti tehty tai laiminlyöty), 45 § (muutoksenhaku), 46 § (uhkasakko), 47 § (vahingonkorvausvelvollisuus), 48 §:n 2 momentti (rangaistussäännös) sekä 50 ja 51 § (voimaantulo ja siirtymäsäännökset).

27. Edellä kohdassa 26 mainituista säännöksistä tämän asian kannalta merkitystä on erityisesti henkilötietolain 32 §:n 1 momentilla, jossa säädetään tietojen suojaamisesta seuraavasti:

"Rekisterinpitäjän on toteutettava tarpeelliset tekniset ja organisatoriset toimenpiteet henkilötietojen suojaamiseksi asiattomalta pääsyltä tietoihin ja vahingossa tai laittomasti tapahtuvalta tietojen hävittämiseltä, muuttamiselta, luovuttamiselta, siirtämiseltä taikka muulta laittomalta käsittelyltä. Toimenpiteiden toteuttamisessa on otettava huomioon käytettävissä olevat tekniset mahdollisuudet, toimenpiteiden aiheuttamat kustannukset, käsiteltävien tietojen laatu, määrä ja ikä sekä käsittelyn merkitys yksityisyyden suojan kannalta."

28. Tietosuojavaltuutetun toimivallasta valvoa 32 §:ssä edellytettyä tietojen suojaamista säädetään 39 §:n 3 momentissa, joka kuuluu seuraavasti:

"Edellä 2 §:n 5 momentissa tarkoitetun käsittelyn osalta tietosuojavaltuutettu valvoo 32 §:ssä säädetyn tietojen suojaamisvelvollisuuden noudattamista. Tietosuojavaltuutetulla on oikeus tässä tarkoituksessa saada tarpeellisia tietoja rekistereiden suojaamisesta."

Rikoslaki

29. Rikoslain (alaviite 15) 24 luvun 8 §:ssä säädetään rangaistusuhasta yksityiselämää loukkaavan tiedon levittämisestä. Rangaistavaksi on säädetty pykälässä tarkemmin mainituin edellytyksin teko, jossa joukkotiedotusvälineitä käyttämällä tai muuten toimitetaan lukuisten ihmisten saataville toisen yksityiselämää koskeva tieto, vihjaus tai kuva siten, että teko on omiaan aiheuttamaan vahinkoa tai kärsimystä loukatulle tai häneen kohdistuvaa halveksuntaa.

Kansallinen oikeuskäytäntö

30. Korkein hallinto-oikeus ei ole henkilötietolain voimassa ollessa antanut ratkaisuja, jotka koskevat verotietoja sisältäviä julkaisuja. Aikaisemman henkilörekisterilain voimassa ollessa verotustietojen luovuttamiseen julkaisua varten ja toimituksellisen rekisterin muodostamiseen tätä tarkoitusta varten tarvittiin tietosuojalautakunnan myöntämä poikkeuslupa. Poikkeuslupa voitiin myöntää painavasta syystä. Korkeimman hallinto-oikeuden vuonna 1989 antamissa ratkaisussa katsottiin, ettei poikkeuslupaa voitu myöntää tietojen massaluovutukseen verohallinnon rekisteristä verokalenterin julkaisijalle (alaviite 16) eikä henkilörekisterin perustamiseen kalenterin julkaisemista varten (alaviite 17).

31. Julkisen sanan neuvosto (JSN) on joukkotiedotusvälineiden itsevalvontaa hoitava neuvosto, joka valvoo hyvän journalistisen tavan noudattamista. JSN on muun ohella verotustietojen julkaisemista koskevassa ratkaisussaan 8.3.2001 lausunut, että se mihin seikkoihin yksityiselämän suoja ulottuu, vaihtelee toisaalta henkilön aseman ja julkistettavaksi haluttavan seikan laadun perusteella. Ratkaisu ei koskenut henkilötietolain soveltamista.

Yhteisön oikeus

Direktiivi 95/46/EY

32. Direktiivin 95/46/EY tarkoituksena on sen 1 artiklan 1 kohdan mukaan se, että henkilötietojen käsittelyssä luonnollisille henkilöille turvataan heidän perusoikeutensa ja -vapautensa ja erityisesti heidän oikeutensa yksityisyyteen.

33. Henkilötietojen käsittely on direktiivin 2 artiklan b kohdassa määritelty käsittämään kaikenlaisia sellaisia toimintoja tai toimintojen kokonaisuuksia, joita kohdistetaan henkilötietoihin joko automaattisen tietojenkäsittelyn avulla tai manuaalisesti, kuten tietojen kerääminen, tallentaminen, järjestäminen, säilyttäminen, muokkaaminen tai muuttaminen, tiedon haku, kysely, käyttö, luovuttaminen siirtämällä, levittämällä tai asettamalla muutoin saataville, yhteensovittaminen tai yhdistäminen sekä suojaaminen, poistaminen tai tuhoaminen.

34. Direktiivin 2 artiklan d kohdan mukaan rekisterinpitäjällä tarkoitetaan luonnollista tai oikeushenkilöä, julkista viranomaista, virastoa tai muuta toimielintä, joka, yksin tai yhdessä toisten kanssa, määrittelee henkilötietojen käsittelyn tarkoituksen ja keinot.

35. Direktiivin soveltamisala ilmenee sen 3 artiklasta, jonka mukaan:

"1. Tätä direktiiviä sovelletaan osittain tai kokonaan automatisoituun tietojenkäsittelyyn sekä sellaisten henkilötietojen manuaaliseen käsittelyyn, jotka muodostavat rekisterin osan tai joiden on tarkoitus muodostaa rekisterin osa.

2. Tätä direktiiviä ei sovelleta henkilötietojen käsittelyyn,
- joka suoritetaan sellaisessa toiminnassa, joka ei kuulu yhteisön oikeuden soveltamisalaan, kuten toiminta, josta on määrätty Euroopan unionista tehdyn sopimuksen V ja VI osastossa, ja kaikissa tapauksissa käsittely, joka koskee yleistä turvallisuutta, puolustusta, valtion turvallisuutta (myös valtion taloudellista hyvinvointia, kun käsittelyoperaatio on sidoksissa valtion turvallisuutta koskeviin kysymyksiin) ja rikosoikeuden alalla tapahtuvaa valtion toimintaa,
- jonka luonnollinen henkilö suorittaa yksinomaan henkilökohtaisessa tai kotitalouttaan koskevassa toiminnassa."

36. Direktiivin II luvussa on yleiset säännöt tietojen käsittelyn laillisuudesta. Sen 6 artiklassa edellytetään muun ohella, että henkilötiedot kerätään tiettyä laillista tarkoitusta varten, eikä niitä myöhemmin käsitellä näiden tarkoitusten kanssa yhteensopimattomalla tavalla. Henkilötietojen tulee niin ikään olla asianmukaisia, eikä liian laajoja siihen tarkoitukseen, mihin ne on kerätty. Esillä olevan tapauksen kannalta keskeinen II luvun määräys on direktiivin 9 artikla, joka koskee henkilötietojen käsittelyä ja ilmaisuvapautta. Siinä todetaan:

"Jäsenvaltioiden on säädettävä ainoastaan journalistisia tarkoituksia tai taiteellisen tai kirjallisen ilmaisun tarkoituksia varten toteutettua henkilötietojen käsittelyä varten poikkeuksista ja vapautuksista tästä luvusta, IV luvusta ja VI luvusta, ainoastaan jos ne osoittautuvat välttämättömiksi yksityisyyttä koskevan oikeuden ja ilmaisuvapautta koskevien sääntöjen yhteensovittamisessa."

37. Kyseisen artiklan osalta direktiivin 37 johdantokappaleessa todetaan muun ohella, että:

"...jäsenvaltioiden on perusoikeuksien tasapainon luomiseksi säädettävä tarvittavista poikkeuksista ja rajoituksista tietojenkäsittelyn laillisuutta koskevien yleisten toimenpiteiden, tiedonsiirtoa kolmansiin maihin koskevien toimenpiteiden sekä valvontaviranomaisten toimivallan osalta, säätämättä kuitenkaan poikkeuksista toimenpiteisiin, joilla pyritään takaamaan tietojenkäsittelyn turvallisuus; lisäksi alan toimivaltaisille valvontaviranomaisille olisi myönnettävä ainakin tiettyjä jälkikäteisiä oikeuksia, jotka koskevat esimerkiksi kertomuksen julkaisemista tietyin aikavälein tai asian siirtämistä lainkäyttöviranomaisille."

38. Lisäksi direktiivin 72 johdantokappaleen mukaan julkisuusperiaate voidaan ottaa huomioon direktiivin säännöksiä täytäntöönpantaessa.

39. Käsittelyn turvallisuudesta ja tietojen suojaamisvelvollisuudesta säädetään direktiivin 17 artiklassa. Sen ensimmäinen kohta kuuluu seuraavasti:

"Jäsenvaltioiden on säädettävä siitä, että rekisterinpitäjän on toteutettava tarpeelliset tekniset ja organisatoriset toimenpiteet henkilötietojen suojaamiseksi vahingossa tapahtuvalta tai laittomalta tuhoamiselta, vahingossa tapahtuvalta häviämiseltä, muuttamiselta, luvattomalta luovuttamiselta tai tietojen antamiselta, erityisesti jos käsittely muodostuu tietojen siirtämisestä verkossa, sekä kaikelta muulta laittomalta käsittelyltä."

40. Direktiivin III lukuun sisältyvän oikeuskeinoja koskevan 22 artiklan mukaan:

"Jäsenvaltioiden on säädettävä siitä, että kenellä tahansa henkilöllä on mahdollisuus käyttää oikeussuojakeinoa, jos kyseessä olevaan käsittelyyn sovellettavien kansallisten säännösten mukaisesti hänelle kuuluvia oikeuksia loukataan, sanotun kuitenkaan rajoittamatta sellaisen hallinnollisen keinon soveltamista, johon voidaan turvautua, muun muassa 28 artiklassa tarkoitetun valvontaviranomaisen avulla ennen asian vireillepanoa oikeudessa."

41. Direktiivin VI lukuun sisältyvässä 28 artiklassa säädetään kansallisista valvontaviranomaisista, joilla tulee artiklan mukaan olla tehokkaat toimintavaltuudet esimerkiksi määrätä tietojen suojaamisesta, poistamisesta tai tuhoamisesta tai kieltää käsittely väliaikaisesti tai lopullisesti.

EU:n perusoikeuskirja

42. Euroopan Unionin perusoikeuskirjan 8 artiklan 1 kappaleen mukaan jokaisella on oikeus henkilötietojensa suojaan. Artiklan 2 kappaleen mukaan tietojen käsittelyn on oltava asianmukaista ja sen on tapahduttava tiettyä tarkoitusta varten ja asianosaisen henkilön suostumuksella tai muun laissa säädetyn oikeuttavan perusteen nojalla. Saman artiklan 3kohdan nojalla riippumaton viranomainen valvoo näiden sääntöjen noudattamista.

43. Perusoikeuskirjan 11 artiklan 1 kappaleen mukaan jokaisella on oikeus sananvapauteen. Tämä oikeus sisältää mielipiteenvapauden sekä vapauden vastaanottaa ja levittää tietoja tai ajatuksia viranomaisen siihen puuttumatta ja alueellisista rajoista riippumatta. Saman artiklan 2 kappaleen mukaan tiedotusvälineiden vapautta kunnioitetaan.

44. Vaikka kyseinen perusoikeuskirja ei olekaan sitova oikeudellinen asiakirja, on yhteisöjen tuomioistuin vahvistanut sen merkityksen asiassa C-540/03 parlamentti vastaan neuvosto (alaviite 18). Tuomioistuin on muun ohella viitannut siihen, että perusoikeusasiakirjalla on ollut tarkoitus vahvistaa ne oikeudet, jotka perustuvat jäsenvaltioille yhteisiin valtiosääntöperinteisiin ja kansainvälisiin velvoitteisiin.

Euroopan ihmisoikeussopimus

45. Korkein hallinto-oikeus viittaa myös Euroopan ihmisoikeussopimukseen (alaviite 19). Sopimuksen 8 artiklassa määrätään oikeudesta nauttia yksityis- ja perhe-elämän kunnioitusta ja sen 10 artiklassa ovat sananvapautta koskevat määräykset.

EY:n tuomioistuimen oikeuskäytäntö

46. Yhteisöjen tuomioistuin on antanut kaksi ratkaisua, joilla on merkitystä nyt esillä olevassa asiassa. Yhdistetyissä asioissa C-465/00, C-138/01 ja C-139/01 Österreichisher Rundfunk (alaviite 20) ym. tuomioistuin tarkasteli Itävallan lainsäädäntöä, joka velvoitti valtion valvontaelimen keräämään ja ilmoittamaan julkaisemista varten valvonnan alaisuuteen kuuluvissa yhteisöissä työskentelevien henkilöiden tulotietoja. Tässä asiassa tuomioistuin totesi muun ohella, ettei EY:n perustamissopimuksen 100 a artiklan käyttäminen edellytä sitä, että kaikilla siihen perustuvassa toimenpiteessä tarkoitetuilla tilanteilla olisi tosiasiallinen liittymä vapaaseen liikkuvuuteen jäsenvaltioiden välillä (alaviite 21). Tuomioistuin katsoi, että asiassa kyseessä olleet palkkoja ja niiden saajia koskevat tiedot olivat direktiivin tarkoittamia henkilötietoja ja kyseessä olleet toiminnot olivat henkilötietojen käsittelyä. Yhteisöjen tuomioistuin tarkasteli tämän jälkeen direktiivin 6, 7 ja 13artiklan soveltamisedellytysten osalta kysymyksiä siitä, puututtiinko lainsäädännöllä yksityisyyteen ja oliko puuttuminen Euroopan ihmisoikeussopimuksen 8 artikla huomioon ottaen perusteltua.

47. Asiassa C-101/01 Lindqvist (alaviite 22) oli kysymys henkilötietojen julkaisemisesta Internetissä. Yhteisöjen tuomioistuin katsoi, että Internetissä julkaistut tiedot olivat direktiivin tarkoittamia henkilötietoja ja tietojen laittaminen Internet-sivuille oli direktiivin tarkoittamaa henkilötietojen käsittelyä (alaviite 23). Tuomioistuin totesi muun ohella, että direktiivin tavoitteena ei ole pelkästään henkilötietojen vapaa liikkuvuus jäsenvaltioiden välillä vaan myös henkilöiden perusoikeudet. Näiden eri oikeuksien ja intressien välisen tasapainon turvaamiseksi käytettävät mekanismit löytyvät itse direktiivistä (alaviite 24). Yhteisöjen tuomioistuin katsoi myös, että direktiivin säännökset eivät sisällä sananvapautta koskevan yleisen periaatteen vastaisia rajoituksia (alaviite 25).

48. Kummassakaan edellä mainitussa ratkaisussa yhteisöjen tuomioistuin ei ole ottanut kantaa siihen, miten direktiivin 9 artiklassa mainittua journalistista tarkoitusta on tulkittava ja miten pitkälle meneviä poikkeuksia direktiivin määräyksistä jäsenvaltiot voivat toteuttaa tässä tarkoituksessa. Tuomioistuin ei myöskään ole tulkinnut direktiivin 17 artiklassa edellytetyn tietojen suojaamisvelvoitteen ulottuvuutta.

Tosiseikasto

49. Korkeimman hallinto-oikeuden käsiteltävänä olevan asian asiakirja-aineistosta ilmenee seuraavaa:

50. Satakunnan Markkinapörssi Oy on kerännyt veroviranomaisilta käyttöönsä verotuksen valmistumisen jälkeen yksittäisiä henkilöitä koskevia verotustietoja. Kyseiset tiedot ovat olleet viranomaistoiminnassa julkisia tietoja. Vuoden 2001 tiedot on asiakirjojen mukaan kerätty eri verotoimistoilta.

51. Satakunnan Markkinapörssi Oy on julkaissut Veropörssi-lehdessä vuosittain noin 1,2 miljoonan luonnollisen henkilön verotiedot. Tiedot sisältävät henkilön sukunimen ja etunimen sekä sadan euron tarkkuudella hänen ansio- ja pääomatulonsa sekä varallisuusverotietoja (alaviite 26). Tiedot on julkaistu alueellisissa julkaisuissa (vuonna 2001 alueellisia julkaisuja oli 16). Niissä tiedot on järjestetty kunnittain tuloluokittain aakkosjärjestykseen. Verotiedot on julkaistu luettelona. Alaraja julkaistavalle tiedolle on määritelty kuntakohtaisesti. Esimerkiksi Helsingin osalta rajaksi on valittu 36 000 euroa ansiotulojen osalta. Pienemmissä kunnissa alaraja on tätä alempi. Lehden pääasiallinen tarkoitus on verotietojen julkaiseminen. Lisäksi lehti sisältää ilmoituksien ohella yhteenvetoja ja muita artikkeleita. Verrattuna verotietoihin muun aineiston osuus on selkeästi pienempi.

Lehti on pyytänyt maksun henkilöä koskevien tietojen poistamisesta lehdestä. Lehden mukaan maksun suorittaminen ei kuitenkaan ole ollut maksun suorittamisen edellytys.

52. Satakunnan Markkinapörssi Oy on luovuttanut painotuotteena julkaistut edellä kuvatut henkilötiedot Satamedia Oy:lle. Satamedia Oy on saman henkilöpiirin omistuksessa oleva toinen yhtiö. Tiedot on luovutettu CD-ROM-levykkeellä.

53. Satamedia Oy ja Satakunnan Markkinapörssi Oy ovat sopineet teleoperaattorina toimivan kolmannen yhtiön kanssa tekstiviestipalvelun teknisestä toteutuksesta. Satamedia Oy on tässä tarkoituksessa luovuttanut edellä kuvatut Veropörssi-lehdessä julkaistut tiedot kyseiselle kolmannelle yhtiölle, joka on hoitanut tekstiviestipalvelun Satamedia Oy:n lukuun.

54. Satamedia Oy on ryhtynyt toteuttamaan tekstiviestipalvelua. Tekstiviestipalvelussa matkapuhelimen käyttäjä lähettää viestin: VERO ETUNIMI SUKUNIMI PAIKKAKUNTA (esimerkiksi VERO MATTI MEIKÄLÄINEN HELSINKI) annettuun numeroon. Vastauksena matkapuhelimeen lähetetään kyseisen henkilön ansiotulo-, pääomatulo ja varallisuustiedot sadan euron tarkkuudella. Vuoden 2004 tekstiviestipalvelussa näkyy myös toisen saman nimisen henkilön tiedot sekä kuntakohtaisia vertailutietoja. Onnistuneesta tekstiviestipalvelusta peritään maksu. Yhtiö myös poistaa pyynnöstä tiedot palvelusta.

Asian oikeudellinen arvio

Kysymyksenasettelusta

55. Tietosuojavaltuutetun valitus ei koske tietojen luovuttamista veroviranomaisen toimesta, eikä verotustietojen julkisuutta siten kuin se on kuvattu edellä kohdassa 19 ole asetettu asiassa kyseenalaiseksi. Asiassa on riidatonta, että verotustiedot ovat laissa säädetyssä laajuudessa julkisia ja kuka tahansa voi tutustua niihin veroviranomaisen luona. Sen sijaan asiassa on riidanalaista, miten näitä tietoja voidaan myöhemmin käsitellä.

56. Edellä kohdissa 46 ja 47 mainittujen yhteisöjen tuomioistuimen ratkaisujen pohjalta korkein hallinto-oikeus pitää ilmeisenä, että henkilötietodirektiivin 2 artiklan a kohdassa määritelty henkilötietojen käsite kattaa henkilön nimen, joka on ilmoitettu yhdessä hänen verotustietojensa kanssa. Korkeimman hallinto-oikeuden käsityksen mukaan kysymys ei myöskään ole sellaisesta toiminnasta, joka olisi suljettu pois direktiivin soveltamisalasta direktiivin 95/46/EY 3 artiklan 2 kohdan perusteella.

57. Asian ratkaiseminen edellyttää kuitenkin sen selvittämistä, voidaanko Satakunnan Markkinapörssi Oy:n ja Satamedia Oy:n toimintaa toimintojen eri vaiheissa pitää direktiivin 2 artiklan tarkoittamana henkilötietojen käsittelynä ja voidaanko tällaiseen toimintaan soveltaa direktiivin 95/46/EY 9 artiklan tarkoittamia journalistiseen tarkoitukseen säädettäviä poikkeuksia.

58. Direktiivin 9 artiklassa edellytetään, että jäsenvaltiot säätävät poikkeuksia artiklassa mainituista määräyksistä vain siltä osin kuin se on välttämätöntä yksityisyyttä koskevan oikeuden ja ilmaisuvapautta koskevien sääntöjen yhteensovittamisessa. Suomen henkilötietolaissa tietojen käsittelyn turvallisuutta toimituksellisten rekisterien osalta pyritään varmistamaan ennenkaikkea henkilötietolain 32 §:ssä säädetyllä tietojen suojaamisvelvoitteella. Mikäli erityisesti tietojen julkaiseminen laajoina kuntakohtaisina luetteloina Veropörssi-lehdessä, samoin kuin julkaistujen tietojen edelleen luovutus CD-ROM-levyllä ja tietoja koskevan tekstiviestipalvelun toteutus kuuluu journalistista tarkoitusta varten säädetyn poikkeuksen piiriin, on kysyttävä, miten direktiivin 17 artiklan edellyttämää tietojen suojaamisvelvoitetta on tässä yhteydessä tulkittava.

59. Edelleen asian ratkaisemiseksi on tarpeen selvittää, voidaanko direktiiviä 95/46/EY ja sen 9artiklaa tulkita siten, että direktiivin soveltamisalan ulkopuolelle jäävät kokonaan sellaiset henkilörekisterit, jotka sisältävät vain tiedotusvälineissä julkaistua aineistoa sellaisenaan. Tällä kysymyksellä on merkitystä siltä osin, kuin Satakunnan Markkinapörssi Oy on luovuttanut lehdessä julkaisemansa tiedot Satamedia Oy:lle. Tältä osin on selvitettävä, tulevatko henkilötietolain säännökset sovellettaviksi Satamedia Oy:n toimintaan vai onko kysymys henkilötietolain ulkopuolelle jäävästä jo julkaistua aineistoa koskevasta toiminnasta.

Kysymysten oikeudellinen tarkastelu

60. Henkilötietojen käsittely on määritelty direktiivin 95/46/EY 2 artiklan bkohdassa koskemaan kaikenlaista sellaista toimintojen kokonaisuutta, joita kohdistetaan henkilötietoihin. Kyseisessä kohdassa esimerkkeinä tietojen käsittelystä on mainittu muiden ohella tietojen kerääminen, tallentaminen, järjestäminen sekä tiedon haku, kysely, luovuttaminen siirtämällä, levittämällä tai asettamalla muutoin saataville, yhteensovittaminen ja yhdistäminen.

61. Korkeimman hallinto-oikeuden ratkaistavana olevassa asiassa henkilötietoja käsitellään ja julkaistaan useammassa eri vaiheessa. Ensimmäisessä vaiheessa Satakunnan Markkinapörssi Oy kerää luonnollisten henkilöiden verotusta koskevia tietoja viranomaisten julkisista tiedoista ja tallentaa ne Veropörssi-lehden toimituksen käyttöön. Toisessa vaiheessa kuntakohtaisen tulorajan ylittävät tiedot julkaistaan aakkosjärjestyksessä alueellisissa numeroissa kuntakohtaisiksi luetteloiksi järjestettynä edellä kohdassa 51 kuvatuin tavoin. Kolmanneksi nämä julkaistut tiedot luovutetaan siirtämällä ne CD-ROM-levykkeellä käytettäväksi kaupallisessa tarkoituksessa. Neljänneksi Satamedia Oy luovuttaa tiedot tekstiviestipalvelun toteuttamista varten siirtämällä ne kolmannelle yhtiölle. Tiedot tallennetaan tekstiviestipalvelua varten ja tietoja haetaan ja yhdistellään tekstiviestipalvelussa siten kuin edellä kohdassa 54 on kuvattu.

62. Edellä mainittu direktiivin 2 artiklan sanamuoto ja artiklaan sisältyvä luettelo tiedon käsittelyn eri muodoista viittaa siihen, että direktiivin tarkoittamaa henkilötietojen käsittelyä on tulkittava laajasti ja kyseeseen tulevat monen muotoiset eri toiminnot, jotka kohdistetaan henkilötietoihin.

63. Yhteisöjen tuomioistuin on edellä mainitussa ratkaisussaan C-101/01 todennut, että direktiivillä 95/46/EY pyritään saattamaan henkilöiden oikeuksien ja vapauksien suoja henkilötietojen käsittelyn osalta samalle tasolle kaikissa jäsenvaltioissa. Ratkaisusta ilmenee myös, että kansallisten lainsäädäntöjen yhdenmukaistaminen ei jää pelkästään vähimmäistasolle, vaan johtaa yhdenmukaistamiseen, joka on lähtökohtaisesti täydellinen.

64. Toisaalta direktiivissä tunnustetaan jäsenvaltioiden toimintamarginaali tietyillä alueilla ja sallitaan niiden pitää voimassa tai ottaa käyttöön erityisiä järjestelmiä erityisten tilanteiden varalta. Yhteisöjen tuomioistuin on kuitenkin korostanut, että tällaisia mahdollisuuksia on käytettävä direktiivissä säädetyllä tavalla ja sen tavoitteen mukaisesti.

65. Direktiivin 9 artikla koskee journalistisia tarkoituksia varten säädettäviä poikkeuksia. Artiklasta ja sen otsikoinnista ilmenee, että säädettävien poikkeusten tarkoituksena on toteuttaa ilmaisuvapauden ja henkilötietojen suojan välinen tasapaino. Direktiivissä ei ole määritelty, mitä journalistisella tarkoituksella tarkoitetaan. Myöskään yhteisöjen tuomioistuin ei ole tähänastisessa oikeuskäytännössä tulkinnut journalistisen tarkoituksen käsitteen ulottuvuutta.

66. Koska direktiivin 9 artikla tarkoittaa poikkeusta direktiivin tarkoittamasta kattavasta henkilötietojen suojasta, voitaisiin ajatella, että käsitettä on tulkittava suppeasti. Tällöin journalistiseksi henkilörekisteriksi olisi lähinnä katsottava lehtien toimituksen käytössä olevat henkilörekisterit, joita ei ole tarkoitus ja joita ei julkaista sellaisenaan kokonaan tai merkittävin osin ainakaan siten, että julkaistu teksti itsessään muodostaisi henkilörekisterin. Tätä käsitystä puoltaa myös direktiivin 9 artiklan sanamuoto, joka viittaa rajoitettuihin poikkeuksiin ("ainoastaan journalistisia tarkoituksia tai taiteellisen tai kirjallisen ilmaisun tarkoituksia varten"). Tällöin verotietojen laajamittaista julkaisemista kuntakohtaisina luetteloina ei voitaisi sisällyttää direktiivin tarkoittaman journalistisen poikkeuksen piiriin ja niiden osalta tulisi sovellettavaksi direktiivin tarkoittama henkilötietojen suoja kaikilta osin.

67. Toisenlaiseen tulkintaan voidaan päätyä, jos henkilötietojen suojan ja ilmaisuvapauden välisessä tasapainossa painotetaan ilmaisuvapautta. Ilmaisuvapauden korostamista voitaisiin mahdollisesti pitää perusteltuna erityisesti esillä olevan kaltaisessa tilanteessa, jossa henkilörekisterin tiedot on saatu viranomaisilta julkisina tietoina. Asiassa on myös ratkaistava, onko direktiivin 9 artiklan tarkoittaman journalistisen tarkoituksen kannalta merkitystä sillä seikalla, että kyseisen toiminnan pääasiallinen tarkoitus on juuri mainittujen verotietojen julkaiseminen.

68. Jos direktiivin 9 artiklaa tulkittaisiin siten, että journalistisessa tarkoituksessa säädetyt poikkeukset voisivat koskea myös henkilötietojen julkaisemista laajamittaisina luetteloina, julkaistujen tietojen edelleen luovuttamista ja tekstiviestipalvelun toteutusta, nousee esille kysymys siitä, miten direktiivin 17 artiklassa asetettu tietojen suojaamisvelvoite toteutuu. Erityisesti on tällöin arvioitava, miten muun ohella luvaton luovuttamista ja tietojen antamista sekä direktiivin 17 artiklaa on esillä olevan kaltaisissa tilanteissa arvioitava. Suomen lainsäädännön mukaan tietosuojavaltuutetun toimivalta journalististen henkilörekisterien osalta kohdistuu nimenomaan henkilötietolain 32 §:ssä tarkoitettuun tietojen suojaamisvelvollisuuden valvontaan.

69. Direktiivin 9 artiklan sanamuodon mukaan poikkeuksista on säädettävä ainoastaan direktiivin II, IV ja VI luvun määräyksistä, jos ne osoittautuvat välttämättömiksi yksityisyyttä koskevan oikeuden ja ilmaisun vapautta koskevien säännösten yhteensovittamisessa. Säädettävien poikkeuksien laajuus määrittää siis ilmaisun vapauden ja yksityisyyden välisen suojan tasapainon kyseisen jäsenvaltion osalta. Vaikka tämä tasapaino on lähtökohtaisesti jäsenvaltioiden määriteltävissä kansallisessa lainsäädännössään, voidaan kysyä, edellyttääkö direktiivi tiettyjä turvatakeita tietojen käsittelyn turvallisuuden ja luottamuksellisuuden varmistamiseksi myös journalististen rekisterien osalta.

70. Edellä on todettu, että Suomen laissa on lisäksi suljettu henkilötietolain soveltamisalan ulkopuolelle kokonaan henkilörekisterit, jotka sisältävät vain tiedotusvälineissä julkaistua aineistoa sellaisenaan. Edellä kohdasta 24 ilmenee, että tätä säännöstä on perusteltu sillä, että henkilöt voivat puuttua tiedotusvälineissä julkaistujen tietojen virheellisyyteen jälkikäteisin oikeussuojakeinoin esimerkiksi mahdollisen rikosoikeudellisen rangaistusvaatimuksen avulla. Suomen lain säännös toteuttaa tätä kautta ilmaisuvapauden periaatetta.

71. Myös direktiivissä 95/46/EY direktiivissä ja erityisesti sen 9 artiklassa on otettu huomioon ilmaisuvapauden periaate ja sen johdanto-osassa on viitattu julkisuusperiaatteeseen. Toisaalta direktiivin sanamuoto ei kuitenkaan anna suoraa tukea sellaiselle direktiivin tulkinnalle, jonka mukaan tiedotusvälineissä julkaistua aineistoa sisältävät henkilörekisterit jäisivät direktiivin soveltamisalan ulkopuolelle. Kuten edellä on todettu, yhteisöjen tuomioistuin on jo lausunut, että direktiivin soveltamisala on kattava. Jäsenvaltioilla on sen suhteen vain rajoitettu toimintamarginaali. Tämän vuoksi on kyseenalaista, voidaanko yksityiselämän suojan kannalta olennaiset rekisteröidyn oikeudet sulkea pois kaikilta osin yksinomaan sillä perusteella, että kyseiset henkilötiedot on julkaistu tiedotusvälineissä sellaisenaan. Suomessa sovellettavaksi eivät tulisi edes ne henkilötietolain säännökset, joita on sovellettava toimituksellisiin rekistereihin. Tietosuojavaltuutetulla ei olisi myöskään toimivaltaa valvoa henkilötietolain 32 §:ssä tarkoitettua tietojen suojaamista.

Tämän johdosta korkein hallinto-oikeus esittää yhteisöjen tuomioistuimelle seuraavan EY 234 artiklassa tarkoitetun ennakkoratkaisupyynnön:

1. Onko direktiivin 95/46/EY 3 artiklan 1 kohdan tarkoittamana henkilötietojen käsittelynä pidettävä toimintaa, jossa luonnollisten henkilöiden ansio- ja pääomatulo- sekä varallisuustietoja:

a) kerätään veroviranomaisten julkisista asiakirjoista ja niitä käsitellään julkaisemista varten,
b) julkaistaan aakkosjärjestyksessä tuloluokittain laajoina kuntakohtaisina luetteloina painotuotteessa,
c) luovutetaan edelleen CD-ROM-levykkeellä käytettäväksi kaupallisessa tarkoituksessa,
d) käsitellään tekstiviestipalvelussa, jossa matkapuhelimen käyttäjät voivat ilmoittamalla henkilön nimen ja kotikunnan ja lähettämällä tekstiviestin määrättyyn numeroon saada paluuviestinä ilmoitetun henkilön ansio- ja pääomatulo- sekä varallisuustiedot.

2. Onko direktiiviä 95/46/EY tulkittava niin, että edellä 1 a - 1 d kohdissa mainittuja eri toimintoja voidaan pitää direktiivin 9 artiklan tarkoittamana ainoastaan journalistiseen tarkoitukseen toteutettavana henkilötietojen käsittelynä, kun otetaan huomioon, että tietoja on kerätty yli miljoonan verovelvollisen osalta kansallisen julkisuuslainsäädännön nojalla julkisista tiedoista? Onko asian arvioinnissa merkitystä sillä, että toiminnan pääasiallisena tarkoituksena on mainittujen tietojen julkaiseminen?

3. Onko direktiivin 95/46/EY 17 artiklaa tulkittava yhdessä direktiivin periaatteiden ja tarkoituksen kanssa siten, että sen vastaista on journalistiseen tarkoitukseen kerättyjen tietojen julkaiseminen ja luovuttaminen edelleen käytettäväksi kaupallisessa tarkoituksessa?

4. Voidaanko direktiiviä 95/46/EY tulkita siten, että sen soveltamisalan ulkopuolelle jäävät kokonaan sellaiset henkilörekisterit, jotka sisältävät vain tiedotusvälineissä julkaistua aineistoa sellaisenaan?

Asian ovat ratkaisseet hallintoneuvokset Lauri Tarasti, Pekka Vihervuori, Kari Kuusiniemi, Tuula Pynnä ja Anne E. Niemi. Asian esittelijä Hannu Ranta.

Alaviite 1: Laki tietosuojalautakunnasta ja tietosuojavaltuutetusta 27.5.1994/389; www.finlex.fi/fi/laki/ajantasa/1994/19940389

Alaviite 2: Henkilötietolaki 22.4.1999/523, 38 §; www.finlex.fi/fi/laki/ajantasa/1999/19990523

Alaviite 3: Tietosuojalautakunnan päätös 7.1.2004 Taltio 1/04; http://www.finlex.fi/fi/viranomaiset/ftie/2004/20040001

Alaviite 4: Helsingin hallinto-oikeuden päätös 29.9.2005 nro 05/0839/2 dno 01035/04/1204

Alaviite 5: Euroopan parlamentin ja neuvoston direktiivi N:o 95/46/EY, annettu 24.10.1995, yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta

Alaviite 6: Laki viranomaisten toiminnan julkisuudesta 21.5.1999/621; www.finlex.fi/fi/laki/ajantasa/1999/19990621

Alaviite 7: Hallituksen esitys eduskunnalle laiksi verotustietojen julkisuudesta ja salassapidosta HE 149/1999; www.finlex.fi/fi/esitykset/he/1999/19990149

Alaviite 8: Suomen perustuslaki 11.6.1999/731; www.finlex.fi/fi/laki/ajantasa/1999/19990731

Alaviite 9: Laki verotustietojen julkisuudesta ja salassapidosta 30.12.1999/1346; www.finlex.fi/fi/laki/ajantasa/1999/19991346

Alaviite 10: Laki verotustietojen julkisuudesta ja salassapidosta 5 §:n 1 momentti on muutettu varallisuusverotuksen poistumisen vuoksi 1.1.2006 lukien lailla 22.12.2005/1154.

Alaviite 11: Laki verotustietojen julkisuudesta ja salassapidosta 5 §:n 3 momentti.

Alaviite 12: Edellä alaviite 2.

Alaviite 13: Hallituksen esitys Eduskunnalle henkilötietolaiksi ja eräiksi siihen liittyviksi laeiksi HE 96/1998 vp, s. 32-33; www.finlex.fi/fi/esitykset/he/1998/19980096

Alaviite 14: Edellä alaviitteessä 13 mainittu HE 96/1998 vp, s. 33-34

Alaviite 15: Rikoslaki 19.12.1889; www.finlex.fi/fi/laki/ajantasa/1889/18890039001

Alaviite 16: Korkein hallinto-oikeus 1989 A 10, www.finlex.fi/fi/oikeus/kho/vuosikirjat/1989/198902626

Alaviite 17: Korkein hallinto-oikeus 1989 A 9, www.finlex.fi/fi/oikeus/kho/vuosikirjat/1989/198902627

Alaviite 18: Asia C-540/2003, Euroopan parlamentti vastaan Euroopan unionin neuvosto, tuomio 27.6.2006, kohta 38

Alaviite 19: Yleissopimus ihmisoikeuksien ja perusvapauksien suojaamiseksi 4.11.1950

Alaviite 20: Asiat C-465/00, C-138/01 ja C-139/01 Rechnungshof vastaan Österreichischer Rundfunk ym. ja Christa Neukomm ja Joseph Lauermann vastaan Österreichischer Rundfunk, tuomio 20.5.2003, Kok. 2003 s. I-04989

Alaviite 21: Yhdistetyt asiat C-465/00, C-138/01 ja C-139/01 kohdat 41. ja 42

Alaviite 22: Asia C-101/01 Lindqvist, annettu 6.11.2003, Kok 2003 s. I-12971

Alaviite 23: Asia C-101/01, kohdat 25 ja 27

Alaviite 24: Asia C-101/01, kohta 82

Alaviite 25: Asia C-101/01, kohta 90

Alaviite 26: Suomessa on nyttemmin luovuttu varallisuusverotuksesta