Finland / Supreme Administrative Court / KHO:2025:15, 101/2024, 171

A v Sanoma Media Finland Oy
Deciding body type
National Court/Tribunal
Deciding body
Supreme Administrative Court
Type
Decision
Decision date
03/02/2025
ECLI (European case law identifier)
ECLI:FI:KHO:2025:15
  • Finland / Supreme Administrative Court / KHO:2025:15, 101/2024, 171

    Key facts of the case:

    Two national newspapers had published, in the tax information portals on their websites, the public tax information of selected individuals generally considered high income earners in Finland (total taxable earned and capital income exceeding € 100,000–150,000). Relying on Articles 21 and 17 of the GDPR, A requested that their personal data is removed from the tax information portals and that the personal data is not processed in the portals.

    The Supreme Administrative Court based its decision mainly on the Data Protection Act (1050/2018) and the GDPR. It also referred to the case law of the CJEU and the ECtHR, in comparable cases concerning Finland (C-73/07 Tietosuojavaltuutettu v Satakunnan Markkinapörssi Oy and Satamedia Oy, 16.12.2008; Satakunnan Markkinapörssi Oy and Satamedia Oy v. Finland, 27.6.2017).

    For processing carried out for journalistic purposes, the GDPR allows derogations if they are necessary to reconcile the right to the protection of personal data with the freedom of expression and information. In Finland, the Data Protection Act includes a derogation according to which Articles 12–22 of the GDPR do not apply to the processing of personal data performed solely for journalistic purposes.

    Key legal question raised by the court:

    The key legal question raised by the Supreme Administrative Court was whether the processing of personal data in the online tax information portals should be regarded, within the meaning of the Data Protection Act, as having been carried out solely for journalistic purposes. The assessment required that an appropriate balance is found between the right to the protection of personal data, on the one hand, and the right to freedom of expression and information, on the other.

    Outcome of the case:

    The Supreme Administrative Court found that publishing the tax information of a limited group of high-income earners contributes to a debate in an open and democratic society, concerning, for example, the allocation, level and fairness of taxation, as well as income formation and distribution. The purpose is to inform the public. According to Finnish legislation, information relating to income taxation is public and can be obtained by anyone from the Finnish tax administration. It cannot be characterised as sensitive data concerning private life. Having considered the balance between the right to the protection of personal data and the right to freedom of expression and information, the court concluded that the processing of personal data concerning taxation in the newspapers’ portals had been carried out solely for journalistic purposes. Because of the derogation provision in the Data Protection Act, Articles 17 and 21 of the GDPR do not apply to the processing of personal data performed solely for journalistic purposes. Therefore, A could not object to the processing of their personal data in the tax information portals, nor to have their data removed on the basis of the GDPR.

  • Paragraphs referring to EU Charter

    22. According to Article 8, paragraph 1, of the Charter of Fundamental Rights of the European Union everyone has the right to the protection of personal data concerning him or her. According to paragraph 2, such data must be processed fairly for specified purposes and on the basis of the consent of the person concerned or some other legitimate basis laid down by law. Everyone has the right of access to data which has been collected concerning him or her, and the right to have it rectified.

    23. According to Article 11, paragraph 1, of the Charter of Fundamental Rights, everyone has the right to freedom of expression. This right shall include freedom to hold opinions and to receive and impart information and ideas without interference by public authority and regardless of frontiers. According to paragraph 2, the freedom and pluralism of the media shall be respected.

    ...

    34. According to Recital 153 of the GDPR, Member States law should reconcile the rules governing freedom of expression and information, including journalistic, academic, artistic and or literary expression with the right to the protection of personal data pursuant to this Regulation. The processing of personal data solely for journalistic purposes, or for the purposes of academic, artistic or literary expression should be subject to derogations or exemptions from certain provisions of this Regulation if necessary to reconcile the right to the protection of personal data with the right to freedom of expression and information, as enshrined in Article 11 of the Charter. (…)

    ...

    58. When assessing whether the processing of personal data in the tax information online portals of Helsingin Sanomat and Ilta-Sanomat is to be regarded, within the meaning of section 27(1) of the Data Protection Act, as carried out solely for journalistic purposes, it is necessary to examine whether the publication of the personal data contained in the tax information portals constitutes journalism as referred to in that provision and in Article 85 of the GDPR. The assessment also requires a balancing of considerations relating, on the one hand, to the right to the protection of personal data and, on the other hand, to the rights to freedom of expression and freedom of information, in order to find and reconcile the appropriate balance between these rights. The requirement for such balancing and reconciliation follows not only from the GDPR and the Data Protection Act but also from Articles 8 and 11 of the Charter of Fundamental Rights of the European Union, Articles 8 and 10 of the European Convention on Human Rights, and section 10(1) and section 12(1) of the Constitution.

  • Paragraphs referring to EU Charter (original language)

    22. Euroopan unionin perusoikeuskirjan 8 artiklan 1 kohdan mukaan jokaisella on oikeus henkilötietojensa suojaan. Artiklan 2 kohdan mukaan tällaisten tietojen käsittelyn on oltava asianmukaista ja sen on tapahduttava tiettyä tarkoitusta varten ja asianomaisen henkilön suostumuksella tai muun laissa säädetyn oikeuttavan perusteen nojalla. Jokaisella on oikeus tutustua niihin tietoihin, joita hänestä on kerätty, ja saada ne oikaistuksi.

    23. Perusoikeuskirjan 11 artiklan 1 kohdan mukaan jokaisella on oikeus sananvapauteen. Tämä oikeus sisältää mielipiteenvapauden sekä vapauden vastaanottaa ja levittää tietoja tai ajatuksia viranomaisten siihen puuttumatta ja alueellisista rajoista riippumatta. Artiklan 2 kohdan mukaan tiedotusvälineiden vapautta ja moniarvoisuutta kunnioitetaan.

    ...

    34. Yleisen tietosuoja-asetuksen johdanto-osan 153 perustelukappaleen mukaan jäsenvaltioiden lainsäädännössä olisi sovitettava yhteen sananvapautta ja tiedonvälityksen vapautta, muun muassa journalistista, akateemista, taiteellista ja kirjallista ilmaisua, koskevat säännöt ja tämän asetuksen mukainen oikeus henkilötietojen suojaan. Eräiden tämän asetuksen säännösten noudattamista koskevia poikkeuksia tai vapautuksia olisi tarvittaessa myönnettävä yksinomaan journalistisia tarkoituksia tai akateemisen, taiteellisen tai kirjallisen ilmaisun tarkoituksia varten toteutettavaan henkilötietojen käsittelyyn, jotta voidaan sovittaa yhteen oikeus henkilötietojen suojaan sekä oikeus sananvapauden ja tiedonvälityksen vapauteen perusoikeuskirjan 11 artiklassa vahvistetulla tavalla. (...)

    ...

    58. Arvioitaessa sitä, onko henkilötietojen käsittelyä Helsingin Sanomien ja Ilta-Sanomien verkkosivuilla olevissa verokoneissa pidettävä tietosuojalain 27 §:n 1 momentissa tarkoitetulla tavalla ainoastaan journalistisia tarkoituksia varten tapahtuneena, on tarkasteltava sitä, onko verokoneiden sisältämien henkilötietojen julkaisemisessa kysymys journalismista sanotussa lainkohdassa ja yleisen tietosuoja-asetuksen 85 artiklassa tarkoitetulla tavalla. Arviointi edellyttää myös yhtäältä henkilötietojen suojaa sekä toisaalta sananvapautta ja tiedonvälityksen vapautta koskeviin oikeuksiin liittyvien näkökohtien välistä punnintaa oikeuksien välisen tasapainon löytämiseksi ja yhteensovittamiseksi. Tasapainottamisen ja yhteensovittamisen vaatimus seuraa paitsi yleisessä tietosuoja-asetuksessa ja tietosuojalaissa säädetystä, myös Euroopan unionin perusoikeuskirjan 8 ja 11 artiklasta ja Euroopan ihmisoikeussopimuksen 8 ja 10 artiklasta sekä perustuslain 10 §:n 1 momentissa ja 12 §:n 1 momentissa säädetystä.