EUT:n ennakkoratkaisu henkilötietojen käsittelystä viranomaistoiminnassa

Euroopan unionin tuomioistuin (EUT) julkaisi 3.4.2025 ennakkoratkaisun asiassa C-710/23 L.H. v. Ministerstvo zdravotnictví. Ratkaisu käsitteli luonnollisten henkilöiden suojelua henkilötietojen käsittelyssä, virallisten asiakirjojen julkisuutta ja oikeushenkilön edustajaa koskevia tietoja.

Asian taustaa

Ratkaisun taustalla on Tšekin terveysministeriön ja L.H:n riita, jossa terveysministeriö oli kieltäytynyt luovuttamasta L.H:lle tiettyjä oikeushenkilöiden edustajia koskevia tietoja. Nämä tiedot mainitaan koronavirustestien hankintaa koskevissa sopimuksissa ja näitä testejä koskevissa todistuksissa, jotka osoittavat, että testejä voi käyttää unionin alueella. Ministeriö luovutti testejä koskevat todistukset, mutta peitti niistä edustajien tiedot (henkilötiedot) vedoten henkilötietojen suojeluun yleisen tietosuoja-asetuksen mukaisesti. Ministeriöllä oli tietty käytäntö henkilötietojen suojeluun liittyen, jota se ei olisi voinut kyseisessä tilanteessa noudattaa niin, että sillä olisi ollut kansalliseen lakiin perustuen mahdollisuus luovuttaa tietoja (katso lisää tuomiosta kohdat 11-16).

Ennakkoratkaisukysymykset ja niiden vastaukset

Mutkien kautta asia päätyi Tšekin ylimmän hallintotuomioistuimen käsiteltäväksi, joka kysyi, onko yleisen GDPR:n 4 artiklan 1 ja 2 alakohtaa tulkittava siten, että oikeushenkilön edustajana toimivan luonnollisen henkilön etunimen, sukunimen, allekirjoituksen ja yhteystietojen luovuttaminen on henkilötietojen käsittelyä, vaikka tiedot luovutetaan yksinomaan sen luonnollisen henkilön tunnistamiseksi, jolla on kelpoisuus toimia kyseisen oikeushenkilön nimissä.

EUT totesi, että GDPR:n mainittuja kohtia on tulkittava siten, että oikeushenkilön edustajana toimivan luonnollisen henkilön kyseisten tietojen luovuttaminen on henkilötietojen käsittelyä. Sillä, että tiedot luovutetaan vain sen luonnollisen henkilön tunnistamiseksi, jolla on kelpoisuus toimia oikeushenkilön nimissä, ei ole tähän merkitystä.

Lisäksi tuomioistuin tiedusteli, onko yleisen GDPR:n 6(1) artiklan ensimmäisen alakohdan c ja e alakohtaa tulkittava siten, että ne ovat esteenä kansalliselle oikeuskäytännölle, jossa rekisterinpitäjänä toimiva viranomainen, jonka tehtävänä on sovittaa yhteen virallisten asiakirjojen julkisuus ja henkilötietojen suoja, velvoitetaan informoimaan ja kuulemaan rekisteröityä ennen kuin se luovuttaa henkilötietoja sisältäviä virallisia asiakirjoja. Tämä oli käytäntönä Tšekissä. Koska tässä tapauksessa yhteyden saaminen näihin henkilöihin ei ollut terveysministeriön mukaan mahdollista, terveysministeriö oli katsonut, että se ei voi luovuttaa tietoja.

Tähän EUT vastasi, että EU oikeutta on tulkittava niin, että ne eivät ole esteenä tällaiselle kansalliselle oikeuskäytännölle, kunhan kyseessä olevan informointivelvollisuuden täytäntöönpano ei ole mahdotonta eikä edellytä kohtuutonta vaivaa eikä siten johda virallisten asiakirjojen julkisuuden kohtuuttomaan rajoittamiseen.

Perehdy tuomioistuimen argumentaatioon tarkemmin suoraan ratkaisusta.

Kuva: Unsplash/Katie Moum