62022CJ0621

UNIONIN TUOMIOISTUIMEN TUOMIO (yhdeksäs jaosto)

4 päivänä lokakuuta 2024 ( *1 )

Ennakkoratkaisupyyntö – Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus (EU) 2016/679 – 5 artiklan 1 kohdan a alakohta – Käsittelyn lainmukaisuus – 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohta – Käsittelyn tarpeellisuus rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi – Oikeutettujen etujen käsite – Kaupallinen etu – Urheiluliitto – Urheiluliiton jäsenten henkilötietojen luovuttaminen sponsoreille maksua vastaan ilman jäsenten suostumusta

Asiassa C‑621/22,

jossa on kyse SEUT 267 artiklaan perustuvasta ennakkoratkaisupyynnöstä, jonka rechtbank Amsterdam (Amsterdamin alioikeus, Alankomaat) on esittänyt 22.9.2022 tekemällään päätöksellä, joka on saapunut unionin tuomioistuimeen 29.9.2022, saadakseen ennakkoratkaisun asiassa

Koninklijke Nederlandse Lawn Tennisbond

vastaan

Autoriteit Persoonsgegevens,

UNIONIN TUOMIOISTUIN (yhdeksäs jaosto),

toimien kokoonpanossa: jaoston puheenjohtaja O. Spineanu-Matei sekä tuomarit J.-C. Bonichot ja L. S. Rossi (esittelevä tuomari),

julkisasiamies: L. Medina,

kirjaaja: A. Calot Escobar,

ottaen huomioon kirjallisessa käsittelyssä esitetyn,

ottaen huomioon huomautukset, jotka sille ovat esittäneet

–	Koninklijke Nederlandse Lawn Tennisbond, edustajinaan E. W. S. Peperkamp, O. M. van Rikxoort ja S. E. A. Vermeer-de Jongh, advocaten,

–	Autoriteit Persoonsgegevens, edustajinaan M. H. L. Hemmer ja T. N. Sanders, advocaten,

–	Alankomaiden hallitus, asiamiehinään M. K. Bulterman ja J. M. Hoogveld,

–	Italian hallitus, asiamiehenään G. Palmieri, avustajanaan E. De Bonis, avvocato dello Stato,

–	Euroopan komissio, asiamiehinään A. Bouchagiar ja H. Kranenborg,

päätettyään julkisasiamiestä kuultuaan ratkaista asian ilman ratkaisuehdotusta,

on antanut seuraavan

tuomion

Ennakkoratkaisupyyntö koskee luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) (EUVL 2016, L 119, s. 1) 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohdan tulkintaa.

Tämä pyyntö on esitetty asiassa, jossa asianosaisina ovat Koninklijke Nederlandse Lawn Tennisbond (Alankomaiden kuninkaallinen tennisliitto, jäljempänä KNLTB) ja Autoriteit Persoonsgegevens (tietosuojaviranomainen, Alankomaat, jäljempänä AP) ja joka koskee AP:n päätöstä, jolla KNLTB:lle määrätään seuraamusmaksu yleisen tietosuoja-asetuksen sääntöjen rikkomisesta.

Asiaa koskevat oikeussäännöt

Yleinen tietosuoja-asetus

Yleisen tietosuoja-asetuksen johdanto-osan 1, 4, 10, 39 ja 47 perustelukappaleen sanamuoto on seuraava:

”(1)	Luonnollisten henkilöiden suojelu henkilötietojen käsittelyn yhteydessä on perusoikeus. Euroopan unionin perusoikeuskirjan, jäljempänä ’perusoikeuskirja’, 8 artiklan 1 kohdan ja [SEUT] 16 artiklan 1 kohdan mukaan jokaisella on oikeus henkilötietojensa suojaan.

– –

(4)

Henkilötietojen käsittely olisi suunniteltava niin, että se palvelee ihmiskuntaa. Oikeus henkilötietojen suojaan ei ole absoluuttinen; sitä on tarkasteltava suhteessa sen tehtävään yhteiskunnassa ja sen on suhteellisuusperiaatteen mukaisesti oltava oikeassa suhteessa muihin perusoikeuksiin. Tässä asetuksessa kunnioitetaan kaikkia perusoikeuksia ja otetaan huomioon perusoikeuskirjassa tunnustetut vapaudet ja periaatteet sellaisina kuin ne ovat vahvistettuina perussopimuksissa, erityisesti jokaisen oikeus siihen, että hänen yksityis- ja perhe-elämäänsä, kotiaan sekä viestejään kunnioitetaan, oikeus henkilötietojen suojaan, ajatuksen, omantunnon ja uskonnon vapaus, sananvapaus ja tiedonvälityksen vapaus, elinkeinovapaus, oikeus tehokkaisiin oikeussuojakeinoihin ja oikeudenmukaiseen oikeudenkäyntiin sekä oikeus kulttuuriseen, uskonnolliseen ja kielelliseen monimuotoisuuteen.

– –

(10)

Jotta voitaisiin varmistaa yhdenmukainen ja korkeatasoinen luonnollisten henkilöiden suojelu ja poistaa henkilötietojen liikkuvuuden esteet [Euroopan] unionissa, luonnollisten henkilöiden oikeuksien ja vapauksien suojelun tason näiden tietojen käsittelyssä olisi oltava vastaava kaikissa jäsenvaltioissa. Luonnollisten henkilöiden perusoikeuksien ja ‑vapauksien suojelua henkilötietojen käsittelyssä koskevien sääntöjen johdonmukainen ja yhtenäinen soveltaminen olisi varmistettava kaikkialla unionissa. – –

– –

(39)

Henkilötietojen käsittelyn olisi oltava laillista ja asianmukaista. Luonnollisille henkilöille olisi oltava läpinäkyvää, että heitä koskevia henkilötietoja kerätään ja käytetään ja niihin tutustutaan tai niitä käsitellään muulla tavoin sekä missä määrin henkilötietoja käsitellään tai on määrä käsitellä. – –

– –

(47)

Rekisterinpitäjän, myös sellaisen rekisterinpitäjän, jolle henkilötiedot voidaan luovuttaa, tai kolmannen osapuolen oikeutetut edut voivat muodostaa käsittelyn oikeusperusteen edellyttäen, että rekisteröidyn edut tai perusoikeudet ja ‑vapaudet eivät asetu niiden edelle ja että otetaan huomioon rekisteröityjen kohtuulliset odotukset, jotka perustuvat heidän ja rekisterinpitäjän väliseen suhteeseen. Tällainen oikeutettu etu voi olla olemassa esimerkiksi, kun rekisteröidyn ja rekisterinpitäjän välillä on merkityksellinen ja asianmukainen suhde, kuten että rekisteröity on rekisterinpitäjän asiakas tai tämän palveluksessa. Oikeutetun edun olemassaoloa on joka tapauksessa arvioitava huolellisesti; on arvioitava muun muassa, voiko rekisteröity kohtuudella odottaa henkilötietojen keruun ajankohtana ja sen yhteydessä, että henkilötietoja voidaan käsitellä tätä tarkoitusta varten. Etenkin rekisteröidyn edut ja perusoikeudet voisivat syrjäyttää rekisterinpitäjän edun, jos henkilötietoja käsitellään olosuhteissa, joissa rekisteröity ei voi kohtuudella odottaa jatkokäsittelyä. – – Henkilötietojen käsittelyä suoramarkkinointitarkoituksissa voidaan pitää oikeutetun edun toteuttamiseksi suoritettuna.”

4	Yleisen tietosuoja-asetuksen 1 artiklan, jonka otsikko on ”Kohde ja tavoitteet”, 2 kohdassa säädetään seuraavaa: ”Tällä asetuksella suojellaan luonnollisten henkilöiden perusoikeuksia ja ‑vapauksia ja erityisesti heidän oikeuttaan henkilötietojen suojaan.”

Kyseisen asetuksen 4 artiklassa säädetään seuraavaa:

”Tässä asetuksessa tarkoitetaan

’henkilötiedoilla’ kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön, jäljempänä ’rekisteröity’, liittyviä tietoja; tunnistettavissa olevana pidetään luonnollista henkilöä, joka voidaan suoraan tai epäsuorasti tunnistaa erityisesti tunnistetietojen, kuten nimen, henkilötunnuksen, sijaintitiedon, verkkotunnistetietojen taikka yhden tai useamman hänelle tunnusomaisen fyysisen, fysiologisen, geneettisen, psyykkisen, taloudellisen, kulttuurillisen tai sosiaalisen tekijän perusteella,

’käsittelyllä’ toimintoa tai toimintoja, joita kohdistetaan henkilötietoihin tai henkilötietoja sisältäviin tietojoukkoihin joko automaattista tietojenkäsittelyä käyttäen tai manuaalisesti, kuten tietojen keräämistä, tallentamista, järjestämistä, jäsentämistä, säilyttämistä, muokkaamista tai muuttamista, hakua, kyselyä, käyttöä, tietojen luovuttamista siirtämällä, levittämällä tai asettamalla ne muutoin saataville, tietojen yhteensovittamista tai yhdistämistä, rajoittamista, poistamista tai tuhoamista,

– –

’rekisterinpitäjällä’ luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, joka yksin tai yhdessä toisten kanssa määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot; jos tällaisen käsittelyn tarkoitukset ja keinot määritellään unionin tai jäsenvaltioiden lainsäädännössä, rekisterinpitäjä tai tämän nimittämistä koskevat erityiset kriteerit voidaan vahvistaa unionin oikeuden tai jäsenvaltion lainsäädännön mukaisesti,

– –

11)	rekisteröidyn ’suostumuksella’ mitä tahansa vapaaehtoista, yksilöityä, tietoista ja yksiselitteistä tahdonilmaisua, jolla rekisteröity hyväksyy henkilötietojensa käsittelyn antamalla suostumusta ilmaisevan lausuman tai toteuttamalla selkeästi suostumusta ilmaisevan toimen,

– –”

Yleisen tietosuoja-asetuksen 5 artiklassa, jonka otsikko on ”Henkilötietojen käsittelyä koskevat periaatteet”, säädetään seuraavaa:

”1. Henkilötietojen suhteen on noudatettava seuraavia vaatimuksia:

a)	niitä on käsiteltävä lainmukaisesti, asianmukaisesti ja rekisteröidyn kannalta läpinäkyvästi (’lainmukaisuus, kohtuullisuus ja läpinäkyvyys’);

b)	ne on kerättävä tiettyä, nimenomaista ja laillista tarkoitusta varten, eikä niitä saa käsitellä myöhemmin näiden tarkoitusten kanssa yhteensopimattomalla tavalla; – –

c)	niiden on oltava asianmukaisia ja olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään (’tietojen minimointi’);

– –

2. Rekisterinpitäjä vastaa siitä, ja sen on pystyttävä osoittamaan se, että 1 kohtaa on noudatettu (’osoitusvelvollisuus’).”

Yleisen tietosuoja-asetuksen 6 artiklassa, jonka otsikko on ”Käsittelyn lainmukaisuus”, säädetään seuraavaa:

”1. Käsittely on lainmukaista ainoastaan jos ja vain siltä osin kuin vähintään yksi seuraavista edellytyksistä täyttyy:

a)	rekisteröity on antanut suostumuksensa henkilötietojensa käsittelyyn yhtä tai useampaa erityistä tarkoitusta varten;

– –

f)	käsittely on tarpeen rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi, paitsi milloin henkilötietojen suojaa edellyttävät rekisteröidyn edut tai perusoikeudet ja ‑vapaudet syrjäyttävät tällaiset edut, erityisesti jos rekisteröity on lapsi.

Ensimmäisen alakohdan f alakohtaa ei sovelleta tietojenkäsittelyyn, jota viranomaiset suorittavat tehtäviensä yhteydessä.

– –”

Yleisen tietosuoja-asetuksen 13 artiklan, jonka otsikko on ”Toimitettavat tiedot, kun henkilötietoja kerätään rekisteröidyltä”, 1 kohdassa säädetään seuraavaa:

”Kerättäessä rekisteröidyltä häntä koskevia henkilötietoja rekisterinpitäjän on silloin, kun henkilötietoja saadaan, toimitettava rekisteröidylle kaikki seuraavat tiedot:

– –

c)	henkilötietojen käsittelyn tarkoitukset sekä käsittelyn oikeusperuste;

d)	rekisterinpitäjän tai kolmannen osapuolen oikeutetut edut, jos käsittely perustuu 6 artiklan 1 kohdan f alakohtaan;

– –”

Pääasia ja ennakkoratkaisukysymykset

Ennakkoratkaisupyynnöstä ilmenee, että KNLTB on yhdistysmuotoon perustettu urheiluliitto. Sen jäseniä ovat siihen liittyneet tennisyhdistykset ja näiden jäsenet. Kun jostakin henkilöstä tulee KNLTB:hen kuuluvan tennisyhdistyksen jäsen, hänestä tulee automaattisesti myös KNLTB:n jäsen. KNLTB tekee sponsoreiden kanssa yhteistyötä väittämänsä mukaan lisätäkseen tenniksen tunnettavuutta ja näkyvyyttä sekä hankkiakseen siihen lisää jäseniä.

KNLTB luovutti vuonna 2018 jäsentensä henkilötietoja kahdelle sponsorilleen eli SportshopsDirect BV:lle (jäljempänä SportshopsDirect), joka on urheilutuotteita myyvä yhtiö, ja Nederlandse Loterij Organisatie BV:lle (jäljempänä NLO), joka on Alankomaiden suurin onnen- ja kasinopelien tarjoaja. KNLTB sai sponsoreiltaan korvauksen kysymyksessä olevien henkilötietojen luovuttamisesta niille.

11	KNLTB luovutti erityisesti 11.6.2018 TennisDirectille jäsentensä nimet, osoitteet ja kotipaikat tarjouksia sisältävän lehtisen postittamiseksi. TennisDirect toimitti nämä tiedot tätä varten puolestaan PostNL-postipalvelulle tämän lehtisen painattamista varten.

KNLTB luovutti 29.6.2018 NLO:lle jäsentensä nimien, osoitteiden ja kotipaikkojen lisäksi myös heidän syntymäaikansa, kiinteät puhelinnumeronsa, matkapuhelinnumeronsa ja sähköpostiosoitteensa sekä niiden tenniseurojen nimet, joihin he kuuluivat. Tämän luovuttamisen tarkoituksena oli puhelinkampanja, jonka yhteydessä NLO toimitti nämä tiedot puhelinpalvelukeskuksille, joihin se oli tässä tarkoituksessa turvautunut.

Eräiden KNLTB:n jäsenten tekemien kantelujen johdosta AP katsoi, että KNLTB oli rikkonut yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan a ja f alakohtaa, luettuna yhdessä kyseisen asetuksen 5 artiklan 1 kohdan a alakohdan kanssa, koska se oli luovuttanut jäsentensä henkilötiedot ilman heidän suostumustaan ja ilman oikeutettua perustetta heidän tietojensa luovuttamiseen. AP määräsi siis KNLTB:lle 20.12.2019 tekemällään päätöksellä 525000 euron suuruisen seuraamusmaksun.

14	KNLTB nosti tästä päätöksestä kanteen rechtbank Amsterdamissa (Amsterdamin alioikeus, Alankomaat), joka on ennakkoratkaisua pyytänyt tuomioistuin.

Vaikka pääasian asianosaiset olivat yhtä mieltä siitä, että KNLTB ei ole saanut yksittäisten jäsentensä suostumusta heidän henkilötietojensa luovuttamiseen edellä mainituille sponsoreille ja että yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan a alakohtaan ei voida vedota kyseisen käsittelyn perusteena, KNLTB väitti, että näiden tietojen luovuttaminen perustuu yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohdassa tarkoitettuun oikeutettuun etuun. Tämä etu muodostuu sen mukaan yhtäältä vahvan yhteyden luomisesta kyseisen yhdistyksen ja sen jäsenten välille ja toisaalta siitä, että sen jäsenten liittymiselle voidaan antaa lisäarvoa yhteistyökumppaneiden alennuksilla ja tarjouksilla, joiden ansiosta jäsenet voivat pelata tennistä edulliseen ja kohtuulliseen hintaan.

AP katsoo, että yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohdassa tarkoitetut oikeutetut edut ovat ainoastaan laissa vahvistettuja ja määritettyjä etuja. AP:n mukaan kyse on oltava eduista, joita unionin lainsäätäjä tai kansallinen lainsäätäjä pitää suojaamisen arvoisina ja joita on arvioitava ”positiivisen perusteen” mukaan. Nyt käsiteltävässä asiassa ei kuitenkaan ole kyse tästä.

17	KNLTB on asiasta eri mieltä ja väittää, että oikeutetun edun ei välttämättä tarvitse perustua perusoikeuteen tai oikeusperiaatteeseen vaan että mikä tahansa etu voi muodostaa oikeutetun edun, jollei se ole lainvastainen, joten tällaista etua on arvioitava ”negatiivisen perusteen” mukaan.

Ennakkoratkaisua pyytäneessä tuomioistuimessa käydyn menettelyn aikana kyseisen menettelyn asianosaiset ovat vaihtaneet näkemyksiä yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohdassa olevan oikeutetun edun käsitteen merkityksestä ja erityisesti siitä, voidaanko oikeutettuna etuna pitää puhtaasti kaupallista etua, joka muodostuu tennisyhdistyksen jäsenten henkilötietojen myymisestä sponsoreille suoramarkkinointia varten ilman näiden jäsenten suostumusta.

Rechtbank Amsterdam on näin ollen epävarma siitä, miten yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohdassa tarkoitettua oikeutettujen etujen käsitettä on tulkittava, joten se päätti lykätä asian käsittelyä ja esittää unionin tuomioistuimelle seuraavat ennakkoratkaisukysymykset:

”1)	Miten [ennakkoratkaisua pyytäneen tuomioistuimen] on tulkittava [yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohdassa tarkoitettua] ilmaisua ’oikeutettu etu’?

2)	Onko tätä ilmaisua tulkittava siten kuin vastaaja sitä tulkitsee? Onko kyse ainoastaan lakiin kuuluvista, laissa säädetyistä, lailla vahvistetuista eduista? Vai:

Voiko mikä tahansa etu olla oikeutettu etu, jos kyseinen etu ei ole lainvastainen? Erityisesti kysytään, voidaanko puhtaasti kaupallista etua ja nyt kyseessä olevan kaltaista etua, nimittäin henkilötietojen luovuttamista maksua vastaan ilman asianomaisen henkilön suostumusta, pitää tietyissä olosuhteissa oikeutettuna etuna? Jos näin on, minkä seikkojen perusteella määritetään, onko puhtaasti kaupallinen etu oikeutettu etu?”

Asian käsittelyn vaiheet unionin tuomioistuimessa

20	Unionin tuomioistuimen presidentti lykkäsi 3.5.2022 tekemällään päätöksellä tämän asian käsittelyä, kunnes asiassa C‑252/21, Meta Platforms ym. (Yhteisöpalvelun yleiset käyttöehdot) annetaan lopullinen ratkaisu.

Unionin tuomioistuimen presidentin 3.8.2023 tekemän päätöksen mukaisesti kirjaamo antoi ennakkoratkaisua pyytäneelle tuomioistuimelle tiedoksi 4.7.2023 annetun tuomion Meta Platforms ym. (Yhteisöpalvelun yleiset käyttöehdot) (C‑252/21, EU:C:2023:537) ja kehotti tätä ilmoittamaan sille, haluaako tämä kyseisen tuomion perusteella pysyttää ennakkoratkaisupyyntönsä kokonaan tai osittain, ja jos tämä pyyntö peruutetaan osittain, pyysi tätä esittämään syyt ennakkoratkaisupyynnön osan pysyttämiselle.

22	Ennakkoratkaisua pyytänyt tuomioistuin ilmoitti unionin tuomioistuimen kirjaamoon 14.2.2024 saapuneella kirjeellä pysyttävänsä ennakkoratkaisupyyntönsä.

Ennakkoratkaisukysymysten tarkastelu

Vakiintuneen oikeuskäytännön mukaan kansallisten tuomioistuinten ja unionin tuomioistuimen välille SEUT 267 artiklalla luodussa yhteistyömenettelyssä unionin tuomioistuimen tehtävänä on antaa kansalliselle tuomioistuimelle hyödyllinen vastaus, jonka perusteella kansallinen tuomioistuin voi ratkaista siinä vireillä olevan asian. Unionin tuomioistuimen on tätä silmällä pitäen tarvittaessa muotoiltava sille esitetyt kysymykset uudelleen (tuomio 20.6.2024, Greislzel, C‑35/23, EU:C:2024:532, 39 kohta oikeuskäytäntöviittauksineen).

Nyt käsiteltävässä asiassa ennakkoratkaisukysymykset koskevat mahdollisuutta oikeuttaa yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohdan nojalla se, että urheiluyhdistys luovuttaa korvausta vastaan jäsentensä henkilötietoja kyseisen yhdistyksen sponsoreille myynninedistämistoimia varten.

Tästä seuraa, että ennakkoratkaisua pyytänyt tuomioistuin tiedustelee ennakkoratkaisukysymyksillään, joihin on vastattava yhdessä, lähinnä, onko yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohtaa tulkittava siten, että henkilötietojen käsittelyä, jossa urheiluliiton jäsenten henkilötietoja luovutetaan maksua vastaan rekisterinpitäjän kaupallisen edun mukaisesti, voidaan pitää kyseisen säännöksen tarkoituksessa tarpeellisena rekisterinpitäjän tai kolmannen osapuolen tavoittelemien oikeutettujen etujen toteuttamiseksi, ja edellytetäänkö kyseisessä säännöksessä, että tällainen etu määritetään laissa.

Näihin kysymyksiin vastaamiseksi on aluksi muistutettava, että yleisen tietosuoja-asetuksen tavoite, sellaisena kuin se ilmenee sen 1 artiklasta ja sen johdanto-osan ensimmäisestä ja kymmenennestä perustelukappaleesta, on erityisesti se, että turvataan luonnollisten henkilöiden perusoikeuksien ja ‑vapauksien ja erityisesti heidän yksityisyyttä koskevan oikeutensa korkeatasoinen suoja henkilötietojen käsittelyssä; tämä oikeus on vahvistettu perusoikeuskirjan 8 artiklan 1 kohdassa ja SEUT 16 artiklan 1 kohdassa (tuomio 7.3.2024, IAB Europe, C‑604/22, EU:C:2024:214, 53 kohta oikeuskäytäntöviittauksineen).

Tämän tavoitteen mukaisesti henkilötietojen käsittelyssä on etenkin noudatettava kyseisen asetuksen 5 artiklassa mainittuja henkilötietojen käsittelyä koskevia periaatteita, ja sen on täytettävä asetuksen 6 artiklassa luetellut lainmukaisuuden edellytykset (ks. vastaavasti tuomio 6.10.2020, La Quadrature du Net ym., C‑511/18, C‑512/18 ja C‑520/18, EU:C:2020:791, 208 kohta ja tuomio 11.7.2024, Meta Platforms Ireland (Edustajakanne), C‑757/22, EU:C:2024:598, 49 kohta).

28	Tältä osin on korostettava, että tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohdan mukaan henkilötietoja on käsiteltävä lainmukaisesti, asianmukaisesti ja rekisteröidyn kannalta läpinäkyvästi.

Kuten unionin tuomioistuin on todennut, yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisessä alakohdassa vahvistetaan erityisesti tyhjentävä luettelo tilanteista, joissa henkilötietojen käsittelyn voidaan katsoa olevan lainmukaista. Jotta käsittelyn voidaan siis katsoa olevan oikeutettua, sen on kuuluttava johonkin tässä säännöksessä säädetyistä tapauksista (tuomio 4.7.2023, Meta Platforms ym. (Yhteisöpalvelun yleiset käyttöehdot), C‑252/21, EU:C:2023:537, 90 kohta).

Yleisen tietosuoja‑asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan a alakohdan mukaan henkilötietojen käsittely on lainmukaista, jos ja siltä osin kuin rekisteröity on antanut sitä koskevan suostumuksensa yhtä tai useampaa erityistä tarkoitusta varten. Jos tällainen suostumus puuttuu tai sitä ei ole annettu yleisen tietosuoja-asetuksen 4 artiklan 11 alakohdan mukaisesti vapaaehtoisesti, yksilöidysti, tietoisesti ja yksiselitteisesti, tällainen käsittely on kuitenkin oikeutettua, jos sen osalta täyttyy jokin kyseisen asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan b–f alakohdassa mainituista edellytyksistä.

Tässä yhteydessä yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan b–f alakohdassa olevia oikeuttamisperusteita on tulkittava suppeasti, koska niiden perusteella ilman rekisteröidyn suostumusta suoritettavasta henkilötietojen käsittelystä tulee lainmukaista (tuomio 4.7.2023, Meta Platforms ym. (Yhteisöpalvelun yleiset käyttöehdot), C‑252/21, EU:C:2023:537, 93 kohta oikeuskäytäntöviittauksineen).

Lisäksi on niin, että – kuten unionin tuomioistuin on todennut – kun henkilötietojen käsittelyn voidaan todeta olevan tarpeen jonkin yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan b–f alakohdassa olevan oikeuttamisperusteen vuoksi, ei ole tarpeen määrittää, kuuluuko tämä käsittely myös näistä oikeuttamisperusteista jonkin muun piiriin (tuomio 4.7.2023, Meta Platforms ym. (Yhteisöpalvelun yleiset käyttöehdot), C‑252/21, EU:C:2023:537, 94 kohta oikeuskäytäntöviittauksineen).

Unionin tuomioistuin on myös todennut, että yleisen tietosuoja-asetuksen 5 artiklan mukaan juuri rekisterinpitäjällä on todistustaakka siitä, että nämä tiedot muun muassa kerätään tiettyä, nimenomaista ja laillista tarkoitusta varten ja että niitä käsitellään lainmukaisesti, asianmukaisesti ja rekisteröidyn kannalta läpinäkyvästi. Lisäksi kyseisen asetuksen 13 artiklan 1 kohdan c alakohdan mukaan silloin, kun henkilötietoja kerätään rekisteröidyltä, rekisterinpitäjän on annettava hänelle tiedoksi näiden tietojen käsittelyn tarkoitukset sekä käsittelyn oikeusperuste (tuomio 4.7.2023, Meta Platforms ym. (Yhteisöpalvelun yleiset käyttöehdot), C‑252/21, EU:C:2023:537, 95 kohta).

Nyt käsiteltävässä asiassa unionin tuomioistuimen käytössä olevasta asiakirja-aineistosta ilmenee, että KNLTB:n jäsenet eivät ole antaneet yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan a alakohdassa tarkoitettua suostumustaan siihen, että KNLTB luovuttaa maksua vastaan heitä koskevia henkilötietoja kolmansille osapuolille ja etenkin TennisDirectille ja NLO:lle.

Jotta ennakkoratkaisua pyytäneelle tuomioistuimelle voidaan antaa hyödyllinen vastaus, on näin ollen selvitettävä, voidaanko kyseisen asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohdan säännöksiin, joita ennakkoratkaisupyyntö erityisesti koskee, vedota sen oikeuttamiseksi, että tällaisia tietoja luovutetaan kyseisille kolmansille osapuolille.

Tältä osin on muistutettava, että henkilötietojen käsittely on yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohdan mukaan lainmukaista, jos se on tarpeen rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi, paitsi milloin henkilötietojen suojaa edellyttävät rekisteröidyn edut tai perusoikeudet ja ‑vapaudet syrjäyttävät tällaiset edut.

Kuten unionin tuomioistuin on jo todennut, kyseisessä säännöksessä säädetään kolmesta kumulatiivisesta edellytyksestä henkilötietojen käsittelyn lainmukaisuudelle, eli siinä edellytetään ensinnäkin, että tavoitellaan rekisterinpitäjän tai kolmannen osapuolen oikeutettua etua, toiseksi, että henkilötietojen käsittely on tarpeen tavoitellun oikeutetun edun toteuttamiseksi, ja kolmanneksi, että henkilön, jota tietosuoja koskee, edut tai perusoikeudet ja ‑vapaudet eivät syrjäytä rekisterinpitäjän tai kolmannen osapuolen oikeutettua etua (tuomio 4.7.2023, Meta Platforms ym. (Yhteisöpalvelun yleiset käyttöehdot), C‑252/21, EU:C:2023:537, 106 kohta oikeuskäytäntöviittauksineen).

Ensinnäkin oikeutetun edun tavoitteluun liittyvästä edellytyksestä on todettava, että koska oikeutetun edun käsitettä ei ole määritelty yleisessä tietosuoja-asetuksessa, kuten unionin tuomioistuin on jo todennut, hyvin monenlaisia etuja voidaan lähtökohtaisesti pitää oikeutettuina (ks. vastaavasti tuomio 7.12.2023, SCHUFA Holding (Jäännösveloista vapauttaminen), C‑26/22 ja C‑64/22, EU:C:2023:958, 76 kohta).

Kuten myös yleisen tietosuoja-asetuksen johdanto-osan 47 perustelukappaleesta, joka koskee oikeutetun edun käsitettä, ilmenee, unionin lainsäätäjä ei ole edellyttänyt, että rekisterinpitäjän tavoittelemasta edusta on säädettävä laissa, jotta rekisterinpitäjän suorittama henkilötietojen käsittely olisi kyseisen asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohdan tarkoituksessa oikeutettua. Tämä toteamus pätee sitäkin suuremmalla syyllä, koska kyseisessä perustelukappaleessa mainitaan suoramarkkinointitarkoitukset yleisesti ottaen oikeutettuina etuina, joita rekisterinpitäjä voi tavoitella.

40	Vaikka yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohdassa tarkoitettu oikeutetun edun käsite ei rajoitu laissa vahvistettuihin ja määritettyihin etuihin, se edellyttää kuitenkin, että esiin tuotu oikeutettu etu on lainmukainen.

Lisäksi on muistutettava, että yleisen tietosuoja-asetuksen 13 artiklan 1 kohdan d alakohdan mukaan rekisterinpitäjän on ilmoitettava rekisteröidylle silloin, kun häneltä kerätään häntä koskevia henkilötietoja, tavoitellut oikeutetut edut, kun kyseinen käsittely perustuu tämän asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohtaan (tuomio 4.7.2023, Meta Platforms ym. (Yhteisöpalvelun yleiset käyttöehdot), C‑252/21, EU:C:2023:537, 107 kohta).

Toiseksi edellytyksestä, joka koskee henkilötietojen käsittelyn tarpeellisuutta tavoitellun oikeutetun edun toteuttamiseksi, on todettava, että ennakkoratkaisua pyytäneen tuomioistuimen on sen nojalla selvitettävä, että henkilötietojen käsittelyllä tavoiteltua oikeutettua etua ei voida kohtuudella saavuttaa yhtä tehokkaasti muilla rekisteröityjen perusoikeuksia ja ‑vapauksia, erityisesti perusoikeuskirjan 7 ja 8 artiklassa taattuja yksityiselämän kunnioitusta ja henkilötietojen suojaa koskevia oikeuksia, vähemmän rajoittavilla keinoilla (tuomio 7.12.2023, SCHUFA Holding (Jäännösveloista vapauttaminen), C‑26/22 ja C‑64/22, EU:C:2023:958, 77 kohta oikeuskäytäntöviittauksineen).

Tässä yhteydessä on myös muistutettava, että käsittelyn tarpeellisuutta koskevaa edellytystä on tarkasteltava yhdessä yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohdassa vahvistetun tietojen minimoinnin periaatteen kanssa, jonka mukaan henkilötietojen on ”oltava asianmukaisia ja olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään” (tuomio 4.7.2023, Meta Platforms ym. (Yhteisöpalvelun yleiset käyttöehdot), C‑252/21, EU:C:2023:537, 109 kohta oikeuskäytäntöviittauksineen).

Lopuksi on todettava kolmanneksi edellytyksestä, jonka mukaan henkilön, jota tietosuoja koskee, edut tai perusoikeudet ja ‑vapaudet eivät syrjäytä rekisterinpitäjän tai kolmannen osapuolen oikeutettua etua, että unionin tuomioistuin on jo katsonut, että se merkitsee kyseessä olevien vastakkaisten oikeuksien ja etujen punnintaa, joka riippuu lähtökohtaisesti kunkin tapauksen konkreettisista olosuhteista, ja että ennakkoratkaisua pyytäneen tuomioistuimen on näin ollen suoritettava tämä punninta ottamalla huomioon nämä erityiset olosuhteet (tuomio 4.7.2023, Meta Platforms ym. (Yhteisöpalvelun yleiset käyttöehdot), C‑252/21, EU:C:2023:537, 110 kohta oikeuskäytäntöviittauksineen).

Yleisen tietosuoja-asetuksen johdanto-osan 47 perustelukappaleessa todetaan lisäksi, että rekisteröidyn edut ja perusoikeudet voivat syrjäyttää rekisterinpitäjän edun etenkin, jos henkilötietoja käsitellään olosuhteissa, joissa rekisteröity ei voi kohtuudella odottaa tällaista käsittelyä (tuomio 4.7.2023, Meta Platforms ym. (Yhteisöpalvelun yleiset käyttöehdot), C‑252/21, EU:C:2023:537, 112 kohta).

Vaikka ennakkoratkaisua pyytäneen tuomioistuimen on viime kädessä arvioitava, täyttyvätkö tämän tuomion 37 kohdassa mainitut kolme edellytystä pääasiassa kyseessä olevan henkilötietojen käsittelyn osalta, unionin tuomioistuin voi ennakkoratkaisupyyntöä käsitellessään tehdä täsmennyksiä ohjatakseen tätä tuomioistuinta kyseisessä selvityksessä (tuomio 4.7.2023, Meta Platforms ym. (Yhteisöpalvelun yleiset käyttöehdot), C‑252/21, EU:C:2023:537, 96 kohta ja tuomio 7.12.2023, SCHUFA Holding (Jäännösveloista vapauttaminen), C‑26/22 ja C‑64/22, EU:C:2023:958, 81 kohta oikeuskäytäntöviittauksineen).

Nyt käsiteltävässä asiassa on todettava ensinnäkin edellytyksestä, joka koskee rekisterinpitäjän tai kolmannen osapuolen oikeutetun edun tavoittelemista yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohdan tarkoituksessa, että ennakkoratkaisua pyytänyt tuomioistuin viittaa rekisterinpitäjän eli KNLTB:n kaltaisen urheiluliiton kaupalliseen etuun, joka muodostuu siitä, että sen jäsenten henkilötietoja luovutetaan maksua vastaan kolmansille osapuolille eli tässä tapauksessa eräälle urheilutuotteita myyvälle yhtiölle sekä eräälle onnen- ja kasinopelien tarjoajalle Alankomaissa mainontaa tai markkinointia varten ja erityisesti mainosviestien ja tarjousten lähettämiseksi jäsenille näiden kolmansien osapuolten toimesta.

Unionin tuomioistuin ei ole sulkenut tältä osin pois sitä, etteikö rekisterinpitäjän kaupallista etua, joka muodostuu myynninedistämistarkoituksiin olevien mainospaikkojen markkinoinnista ja myynnistä, voitaisi pitää yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohdassa tarkoitettuna oikeutettuna etuna (ks. analogisesti tuomio 13.5.2014, Google Spain ja Google, C‑131/12, EU:C:2014:317, 73 kohta).

Tämän tuomion 47 kohdassa esitetyn kaltainen rekisterinpitäjän kaupallinen etu voisi siis olla yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohdassa tarkoitettu oikeutettu etu, kunhan se ei ole ristiriidassa lain kanssa. Ennakkoratkaisua pyytäneen tuomioistuimen on kuitenkin arvioitava tapauskohtaisesti tällaisen edun olemassaoloa ottamalla huomioon sovellettavat oikeussäännöt ja kaikki asiaan liittyvät olosuhteet.

Jos tällainen etu katsotaan oikeutetuksi, on vielä tarpeen, että rekisterinpitäjä noudattaa kaikkia muita sille yleisen tietosuoja-asetuksen nojalla kuuluvia velvollisuuksia, jotta kyseisen edun tavoittelu voisi mahdollistaa henkilötietojen käsittelyn yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohdan nojalla.

Siltä osin kuin toiseksi on kyse edellytyksestä, joka koskee henkilötietojen käsittelyn tarpeellisuutta kyseisen edun toteuttamiseksi, ja erityisesti siitä, onko olemassa muita rekisteröityjen perusoikeuksia ja ‑vapauksia vähemmän rajoittavia ja yhtä asianmukaisia keinoja, on todettava, että KNLTB:n kaltainen urheiluliitto, joka haluaa luovuttaa maksua vastaan jäsentensä henkilötietoja kolmansille osapuolille, voisi muun muassa ilmoittaa asiasta etukäteen jäsenilleen ja tiedustella näiltä, haluavatko he, että heidän tietonsa siirretään näille kolmansille osapuolille mainontaa tai markkinointia varten.

Tämän ratkaisun nojalla asianomaiset jäsenet voisivat tämän tuomion 43 kohdassa mainitun tietojen minimoinnin periaatteen mukaisesti valvoa edelleen henkilötietojensa luovuttamista ja rajata siis niiden luovuttamisen siihen, mikä on tosiasiallisesti tarpeellista ja merkityksellistä niiden tarkoitusten kannalta, joihin mainitut tiedot siirretään ja niitä käsitellään (ks. analogisesti tuomio 12.9.2024, HTB Neunte Immobilien Portfolio ja Ökorenta Neue Energien Ökostabil IV, C‑17/22 ja C‑18/22, EU:C:2024:738, 60 kohta).

Tämän tuomion edellisessä kohdassa kuvatun kaltainen menettely voisi merkitä vähäisempää puuttumista rekisteröidyn henkilötietojen luottamuksellisuuden suojaa koskevaan oikeuteen samalla kuin sillä sallitaan rekisterinpitäjän tavoitella yhtä tehokkaasti oikeutettua etua, johon se vetoaa, mikä ennakkoratkaisua pyytäneen tuomioistuimen on kuitenkin selvitettävä (ks. analogisesti tuomio 12.9.2024, HTB Neunte Immobilien Portfolio ja Ökorenta Neue Energien Ökostabil IV, C‑17/22 ja C‑18/22, EU:C:2024:738, 61 kohta).

Siltä osin kuin kolmanneksi on kyse etujen punninnasta, joka ennakkoratkaisua pyytäneen tuomioistuimen on suoritettava pääasian erityisten olosuhteiden perusteella, on todettava, että kyseisen tuomioistuimen on otettava huomioon muun muassa rekisteröidyn kohtuulliset odotukset sekä kyseessä olevan käsittelyn laajuus ja vaikutus, joka sillä on rekisteröityyn (tuomio 4.7.2023, Meta Platforms ym. (Yhteisöpalvelun yleiset käyttöehdot), C‑252/21, EU:C:2023:537, 116 kohta).

Tällaisen punninnan yhteydessä ennakkoratkaisua pyytäneen tuomioistuimen on selvitettävä, voivatko tennisyhdistysten jäsenten oikeus perusoikeuskirjan 8 artiklan 1 kohdassa ja SEUT 16 artiklan 1 kohdassa vahvistettuun yksityisyyteen heidän henkilötietojensa käsittelyssä syrjäyttää kansallisen tennisliiton kaupallisen edun. Kuten yleisen tietosuoja-asetuksen johdanto-osan 47 perustelukappaleesta ilmenee, tältä kannalta katsoen on annettava erityistä merkitystä sille, saattoivatko kyseiset jäsenet kohtuudella odottaa sinä ajankohtana, jona heidän henkilötietonsa kerättiin tennisyhdistyksen jäsenyyttä varten, että kyseiset tiedot luovutetaan maksua vastaan kolmansille osapuolille eli tässä tapauksessa KNLTB:n sponsoreille mainontaa ja markkinointia varten.

Ennakkoratkaisua pyytäneen tuomioistuimen on lisäksi otettava huomioon se, että kyseessä olevat tiedot etenkin siirretään NLO:n kaltaiselle onnen- ja kasinopelien tarjoajalle, jonka myynninedistämis- ja markkinointitoimintaa harjoitetaan, vaikka se onkin laillista, asiayhteydessä, jolle ei näytä olevan ominaista – toisin kuin yleisen tietosuoja-asetuksen johdanto-osan 47 perustelukappaleesta ilmenee – rekisteröidyn ja rekisterinpitäjän välinen merkityksellinen ja asianmukainen suhde. Tällaisten tietojen käsittelyllä voisi lisäksi olla tietyissä olosuhteissa haitallisia vaikutuksia asianomaisiin tennisyhdistysten jäseniin, koska tämä toiminta voi altistaa nämä jäsenet peliriippuvuuden kehittymiseen liittyville riskeille.

Edellä esitetyn perusteella ennakkoratkaisukysymyksiin on vastattava, että yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohtaa on tulkittava siten, että henkilötietojen käsittelyä, jossa urheiluliiton jäsenten henkilötietoja luovutetaan maksua vastaan rekisterinpitäjän kaupallisen edun mukaisesti, voidaan pitää kyseisen säännöksen tarkoituksessa tarpeellisena rekisterinpitäjän tavoittelemien oikeutettujen etujen toteuttamiseksi ainoastaan sillä edellytyksellä, että tämä käsittely on kyseessä olevan oikeutetun edun toteuttamisen kannalta täysin välttämätöntä ja että kun otetaan huomioon kaikki merkitykselliset olosuhteet, näiden jäsenten edut tai perusoikeudet ja ‑vapaudet eivät syrjäytä tätä oikeutettua etua. Vaikka kyseisessä säännöksessä ei edellytetä, että oikeutettu etu määritetään laissa, siinä edellytetään, että esiin tuotu oikeutettu etu on lainmukainen.

Oikeudenkäyntikulut

Pääasian asianosaisten osalta asian käsittely unionin tuomioistuimessa on välivaihe kansallisessa tuomioistuimessa vireillä olevan asian käsittelyssä, minkä vuoksi kansallisen tuomioistuimen asiana on päättää oikeudenkäyntikulujen korvaamisesta. Oikeudenkäyntikuluja, jotka ovat aiheutuneet muille kuin näille asianosaisille huomautusten esittämisestä unionin tuomioistuimelle, ei voida määrätä korvattaviksi.

Näillä perusteilla unionin tuomioistuin (yhdeksäs jaosto) on ratkaissut asian seuraavasti:

Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohtaa

on tulkittava siten, että

henkilötietojen käsittelyä, jossa urheiluliiton jäsenten henkilötietoja luovutetaan maksua vastaan rekisterinpitäjän kaupallisen edun mukaisesti, voidaan pitää kyseisen säännöksen tarkoituksessa tarpeellisena rekisterinpitäjän tavoittelemien oikeutettujen etujen toteuttamiseksi ainoastaan sillä edellytyksellä, että tämä käsittely on kyseessä olevan oikeutetun edun toteuttamisen kannalta täysin välttämätöntä ja että kun otetaan huomioon kaikki merkitykselliset olosuhteet, näiden jäsenten edut tai perusoikeudet ja ‑vapaudet eivät syrjäytä tätä oikeutettua etua. Vaikka kyseisessä säännöksessä ei edellytetä, että oikeutettu etu määritetään laissa, siinä edellytetään, että esiin tuotu oikeutettu etu on lainmukainen.

Allekirjoitukset

( *1 ) Oikeudenkäyntikieli: hollanti.