Kirjoittanut professori Susanna Lindroos-Hovinheimo.
Euroopan unionin tuomioistuin (EUT) antoi vuonna 2023 prosessioikeudellisesti mielenkiintoisen ratkaisun asiassa Norra Stockholm Bygg.[1] Kyseessä oli ennakkoratkaisupyyntö Ruotsista ja asia koski henkilötietojen käsittelyä siviiliprosessissa. Ratkaisu on merkittävä siksi, että tämä oli ensimmäinen kerta, kun EUT pohti tietosuoja-asetuksen vaikutuksia prosessioikeuteen. Olen tarkastellut EUT:n ratkaisua yksityiskohtaisemmin aiemmin.[2] Keskityn tässä kirjoituksessa esittämään muutamia huomioita siitä, mihin Ruotsin korkein oikeus loppujen lopuksi asiassa päätyi.
Kansallinen prosessi
Ruotsalaisessa oikeudenkäynnissä oli kyse riidasta, joka liittyi rakennusurakkaan. Rakennusyritys Fastec oli suorittanut Nycander-nimiselle yhtiölle toimistorakennuksen urakan. Työmaalla työskennelleet henkilöt olivat kirjanneet läsnäolonsa sähköiseen päiväkirjaan. Fastec nosti käräjäoikeudessa kanteen, jossa vaadittiin maksua tehdyistä töistä. Nycander vastusti Fastecin vaatimusta ja vetosi muun muassa siihen, että Fastecin henkilöstön työtuntien määrä oli pienempi kuin vaatimuksessa oli ilmoitettu.
Nycander vaati käräjäoikeudessa, että henkilöstöpäiväkirja määrättäisiin esitettäväksi ensisijaisesti sellaisenaan ja toissijaisesti siten, että henkilötunnukset on peitetty. Nycander vetosi siihen, että henkilöstöpäiväkirja saattoi olla tärkeä todiste, koska siihen kirjatuilla tiedoilla voitaisiin todistaa Fastecin henkilökunnan tekemät työtunnit.
Fastec vastusti vaatimusta siksi, että se oli yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan b alakohdan vastainen. Artiklassa säädetään käyttötarkoitussidonnaisuuden periaatteesta. Fastecin mukaan päiväkirja sisälsi henkilötietoja, jotka kerätään verovalvontaa varten, eikä näiden tietojen ilmaiseminen tuomioistuimessa ole tämän käyttötarkoituksen mukaista. Siten tietojen käyttäminen todistelussa olisi käyttötarkoitussidonnaisuuden periaatteen vastaista.
Käräjäoikeus määräsi päiväkirjan esitettäväksi. Svean hovioikeus pysytti ratkaisun. Fastec valitti korkeimpaan oikeuteen, joka jäi miettimään tietosuoja-asetuksen tulkintaa ja esitti ennakkoratkaisupyynnön unionin tuomioistuimeen.
EUT:n tuomio
Ennakkoratkaisupyynnön kysymykset koskivat sitä, onko asiassa sovellettava yleisen tietosuoja-asetuksen säännöksiä ja jos, niin miten.
Tietosuoja-asetuksen käyttötarkoitussidonnaisuuden periaate on aiheuttanut paljon päänvaivaa tietosuojan kanssa työskenteleville juristeille siksi, että sen tarkka merkitys ja ulottuvuus ovat vielä epäselviä. EUT:n tuomion hyvä puoli on se, että se antaa jonkin verran apua periaatteen tulkintaan. Huono puoli taas on, ettei käyttötarkoitussidonnaisuuden periaatteella argumentoiminen tunnu kovin luontevalta pohjoismaisessa prosessioikeudessa. Tältä osin EUT oli kuitenkin pakon edessä, sillä ruotsalaisessa prosessioikeudessa oli noussut esiin juuri käyttötarkoitussidonnaisuuden periaatetta koskeva väite.
EUT päätyi toteamaan, että henkilöstöpäiväkirjan esittäminen oikeudenkäynnissä on käsittelyä, joka suoritetaan muussa tarkoituksessa kuin tietojen keräämisen tarkoituksena olevaa verovalvontaa varten. EUT totesi, että kolmansien henkilöiden henkilötietojen käsittely riita-asian oikeudenkäynnissä voi perustua 23 artiklan 1 kohdassa lueteltuihin tavoitteisiin, joita ovat muun muassa oikeudellisen riippumattomuuden ja oikeudellisten menettelyjen suojelu sekä yksityisoikeudellisten kanteiden täytäntöönpano.[3] Se jätti kuitenkin kansallisen tuomioistuimen tehtäväksi miettiä, on tässä tapauksessa näin.[4]
Käyttötarkoitussidonnaisuuden osalta EUT siis katsoi, että periaate soveltuu todisteiden esittämiseen oikeudenkäynnissä. Siinä on kyse käsittelystä, jota tehdään muussa kuin tietojen keräämisen alkuperäisessä tarkoituksessa. Tietosuoja-asetusta on vaikea lukea toisin, mutta tällä ratkaisulla EUT avasi oven monille prosessioikeudellisille pulmille. Jatkossa tuomioistuimille tulee yhä useammin pohdittavaksi myös tietosuojaoikeudellisia seikkoja, kun todistelua esitetään.
EUT antoi tuomiossaan myös ohjeita siihen, miten kansallisten tuomioistuinten tulisi tämän kaltaisissa tapauksissa punnita tietosuojaoikeuksia suhteessa muihin arvoihin ja oikeuksiin. Se painotti, että yksityisen on voitava saada asiansa käsitellyksi kontradiktorisessa menettelyssä ja esittää menettelyn eri vaiheissa todistelua kantansa tueksi.[5]
Jäi ruotsalaisen tuomioistuimen tehtäväksi ratkaista tässä asiassa, onko henkilötietojen ilmaiseminen asianmukaista ja olennaista kansallisen oikeuden sovellettavien säännösten tavoitteen takaamiseksi. Kansallisen tuomioistuimen oli myös mietittävä, voidaanko prosessioikeudelliset tavoitteet saavuttaa turvautumalla sellaisiin todistelukeinoihin, joilla ei puututa henkilötietojen suojaan. EUT muistutti, että mikäli vain osa tiedoista on tarpeellisia todistelutarkoituksessa, tulee kansallisen tuomioistuimen pohtia esimerkiksi pseudonymisointia, tai muita mahdollisia tietosuojaa edistäviä toimenpiteitä.[6]
Johtopäätöksenään EUT totesi, että kun kansallinen tuomioistuin arvioi sitä, onko henkilötietoja sisältävä asiakirja määrättävä esitettäväksi, sen on otettava huomioon rekisteröityjen edut. Sen on punnittava niitä kunkin yksittäistapauksen olosuhteiden ja kyseessä olevan menettelylajin edellyttämällä tavalla ottaen huomioon suhteellisuusperiaatteesta ja erityisesti asetuksen 5 artiklan 1 kohdan c alakohdassa tarkoitetusta tietojen minimoinnin periaatteesta johtuvat vaatimukset.[7]
EUT jätti siis varsin paljon liikkumavaraa kansalliselle tuomioistuimelle. Ratkaisu kuitenkin tarkoittaa sitä, että tuomioistuinten on jatkossa antauduttava varsin perusteelliseen tietosuojaoikeudelliseen pohdintaan todistelun osalta. Se on uutta. Aiemmin tietosuojasääntelyä ei ole ulotettu näin selkeästi oikeudenkäynnin sisäisiin asioihin, eikä varsinkaan todisteluun.
Ruotsalainen ratkaisu
EUT:n ratkaisun tultua esitin näkemyksen, että Ruotsin korkein oikeus olisi saanut jättää nämä ennakkoratkaisukysymykset esittämättä, sillä EUT:n tuomiosta seurasi enemmän tietosuoja-asetuksen tulkintaa koskevia kysymyksiä kuin vastauksia.[8]
Ruotsin Högsta domstolen ei kuitenkaan EUT:n ratkaisusta hätkähtänyt, vaan päätyi varsin yksinkertaiseen ja kenties jopa eleganttiin lopputulokseen.[9] Viis veisaten monimutkaisista käyttötarkoitussidonnaisuuden periaatteista, se määräsi, että henkilöstöpäiväkirja voidaan esittää niin, että siinä näkyvät henkilöiden nimet. Högsta domstolen ei pitänyt henkilöiden tietosuojan kannalta erityisen vakavana sitä, että heidän nimensä tulisivat esille oikeudenkäynnissä. Se totesi eksplisiittisesti, etteivät nimet tässä yhteydessä olleet erityisen arkaluonteista tietoa.
Sen sijaan Högsta domstolen määräsi, että heidän henkilötunnuksensa ynnä muut vastaavat identifiointikoodinsa oli peitettävä. Tuomioistuin totesi, ettei henkilötunnusten esittämiselle todistelun yhteydessä ollut perusteltua syytä ja niiden peittäminen on minimointiperiaatteen mukaista.
Huomattavaa on, että Högsta domstolen ei lähtenyt perustelemaan ratkaisuaan tietosuoja-asetuksen artikloilla lainkaan, vaikka oikeudenkäynnissä oli kuultu myös kansallista tietosuojan valvontaviranomaista. Tuomiossa ei myöskään pohdittu EUT:n ratkaisua kovin yksityiskohtaisesti, vaan tyydyttiin referoimaan sen pääkohdat erittäin lyhyesti. Lopputuloksesta voi olla monta mieltä. Onko kyseessä kansallisen prosessiautonomian vastaisku EU-oikeuden tunkeutumiselle, vai maalaisjärjen voitto tietosuojakiemuroista jäänee lukijan päätettäväksi.
[1] Asia C-268/21, Norra Stockholm Bygg AB vastaan Per Nycander AB, EU:C:2023:145.
[2] Susanna Lindroos-Hovinheimo: ” Tietosuojan vaikutus oikeudenkäynteihin: rajoittaako tietosuoja-asetus todistelua?” Defensor Legis 2/2023, s. 367-376 ja Susanna Lindroos-Hovinheimo: ” The CJEU Delivers Controversial Ruling on Data Protection in Civil Procedure – Norra Stockholm Bygg” EDPL 2/2023, s. 257-263.
[3] Asia C-268/21, Norra Stockholm Bygg, kohta 38.
[4] Asia C-268/21, Norra Stockholm Bygg, kohta 39.
[5] Asia C-268/21, Norra Stockholm Bygg, kohta 52.
[6] Asia C-268/21, Norra Stockholm Bygg, kohdat 55–56.
[7] Asia C-268/21, Norra Stockholm Bygg, kohta 59.
[8] Susanna Lindroos-Hovinheimo: ” Tietosuojan vaikutus oikeudenkäynteihin: rajoittaako tietosuoja-asetus todistelua?” Defensor Legis 2/2023, s. 367-376.
[9] https://www.domstol.se/globalassets/filer/domstol/hogstadomstolen/avgoranden/2023/o-1750-20.pdf