Wyrok z dnia 2014-12-11 sygn. C-212/13

—

w imieniu F. Ryneša przez M. Šalomouna, advokát,

—

w imieniu Úřad pro ochranu osobních údajů przez I. Němeca, advokát, oraz J. Prokeša,

—

w imieniu rządu czeskiego przez M. Smolka oraz J. Vláčila, działających w charakterze pełnomocników,

—

w imieniu rządu hiszpańskiego przez A. Rubia Gonzáleza, działającego w charakterze pełnomocnika,

—

w imieniu rządu włoskiego przez G. Palmieri, działającą w charakterze pełnomocnika, wspieraną przez P. Gentilego, avvocato dello Stato,

—

w imieniu rządu austriackiego przez A. Poscha oraz G. Kunnerta, działających w charakterze pełnomocników,

—

w imieniu rządu polskiego przez B. Majczynę, J. Fałdygę oraz M. Kamejszę, działających w charakterze pełnomocników,

—

w imieniu rządu portugalskiego przez L. Ineza Fernandesa oraz C. Vieirę Guerrę, działających w charakterze pełnomocników,

—

w imieniu rządu Zjednoczonego Królestwa przez L. Christiego, działającego w charakterze pełnomocnika, wspieranego przez J. Holmesa, barrister,

—

w imieniu Komisji Europejskiej przez B. Martenczuka, P. Němečkovą oraz Z. Malůškovą, działających w charakterze pełnomocników,

1

Wniosek o wydanie orzeczenia w trybie prejudycjalnym dotyczy wykładni art. 3 ust. 2 dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.U. L 281, s. 31).

2

Wniosek ten został złożony w ramach sporu między F. Rynešem a Úřad pro ochranu osobních údajů (urzędem ds. ochrony danych osobowych, zwanym dalej „Úřad”) w związku z decyzją, mocą której Úřad stwierdził, że F. Ryneš popełnił kilka wykroczeń w zakresie ochrony danych osobowych.

3

Motywy 10, 12, 14–16 dyrektywy 95/46 stanowią:

[…]

[…]

4

Zgodnie z art. 2 tej dyrektywy:

„Do celów niniejszej dyrektywy:

5

Artykuł 3 dyrektywy 95/46 stanowi:

„1.   Niniejsza dyrektywa stosuje się do przetwarzania danych osobowych w całości lub w części w sposób zautomatyzowany oraz innego przetwarzania danych osobowych, stanowiących część zbioru danych lub mających stanowić część zbioru danych.

2.   Niniejsza dyrektywa nie ma zastosowania do przetwarzania danych osobowych:

6

Artykuł 7 tej dyrektywy ma następujące brzmienie:

„Państwa członkowskie zapewniają, że dane osobowe mogą być przetwarzane tylko wówczas gdy:

[…]

7

Artykuł 11 dyrektywy 95/46 przewiduje:

„1.   W przypadku gdy dane uzyskiwane są z innych źródeł niż osoba, której dane dotyczą, państwa członkowskie zapewniają, aby administrator danych […] był zobowiązany od początku gromadzenia danych osobowych […] dostarczyć osobie, której dane dotyczą, co najmniej następujące informacje, z wyjątkiem przypadku, kiedy posiada już ona takie informacje:

2.   Ustęp 1 nie ma zastosowania w przypadku, gdy, szczególnie w przypadku [dla] przetwarzania danych do celów statystycznych, historycznych lub naukowych, dostarczenie takich informacji [byłoby niemożliwe,] wymagałoby niewspółmiernie dużego wysiłku lub jeżeli gromadzenie lub ujawnianie informacji jest wyraźnie przewidziane przez prawo. W takich przypadkach państwa członkowskie zapewniają odpowiednie środki zabezpieczające”.

8

Artykuł 13 ust. 1 niniejszej dyrektywy stanowi:

„Państwo członkowskie może przyjąć środki ustawodawcze w celu ograniczenia zakresu praw i obowiązków, przewidzianego w […] art. 11 ust. 1 […], kiedy ograniczenie takie stanowi środek konieczny dla zabezpieczenia:

[…]

[…]

9

Zgodnie z art. 18 ust. 1 niniejszej dyrektywy:

„Państwa członkowskie zobowiązują administratora danych […] do zawiadomienia organu nadzorczego […] przed przeprowadzeniem całościowej lub częściowej operacji automatycznego przetwarzania danych lub zestawu takich operacji mających służyć jednemu celowi lub wielu powiązanym ze sobą celom”.

10

Artykuł 3 ust. 3 ustawy nr 101/2000 Sb. w sprawie ochrony danych osobowych i zmiany niektórych ustaw (zwanej dalej „ustawą nr 101/2000”) stanowi:

„Niniejsza ustawa nie obejmuje przetwarzania danych osobowych dokonywanego przez osobę fizyczną wyłącznie na użytek osobisty”.

11

Artykuł 44 ust. 2 tej ustawy reguluje odpowiedzialność osoby zajmującej się przetwarzaniem danych osobowych, która dopuszcza się wykroczenia przy okazji przetwarzania tych danych bez zgody osoby, której dane te dotyczą, w wypadku gdy nie dostarcza jej właściwych informacji i gdy nie spełnia obowiązku zawiadomienia właściwego organu.

12

Zgodnie z art. 5 ust. 2 omawianej ustawy przetwarzanie danych osobowych jest co do zasady możliwe jedynie za zgodą osoby, której te dane dotyczą. W braku takiej zgody rzeczone przetwarzanie może mieć miejsce, jeżeli okaże się konieczne w celu zabezpieczenia podlegających ochronie na mocy ustawy praw i interesów podmiotu odpowiedzialnego za przetwarzanie, adresata lub każdej innej osoby, której te dane dotyczą. Przetwarzanie to nie może jednak naruszać prawa danej osoby do poszanowania jej sfery prywatnej i życia osobistego.

13

W okresie od 5 października 2007 r. do 11 kwietnia 2008 r. F. Ryneš korzystał z zainstalowanego przez siebie systemu kamer usytuowanego pod dachem domu jego rodziny. Kamera ustawiona była w stałej pozycji bez możliwości obracania się i nagrywała wejście do tego domu, drogę publiczną oraz wejście do domu położonego naprzeciwko. System umożliwiał jedynie rejestrację obrazu, który przechowywany był na sprzęcie nagrywającym w sposób ciągły, a mianowicie na twardym dysku. Po zapełnieniu się pamięci na dysku nowe nagranie było rejestrowane w miejsce już istniejącego. Sprzęt nagrywający nie posiadał monitora, tak że nie było możliwości przeglądu nagrania w czasie rzeczywistym. Tylko F. Ryneš miał bezpośredni dostęp do systemu i danych.

14

Sąd odsyłający zauważa, że jedynym powodem korzystania z tej kamery przez F. Ryneša była ochrona majątku, zdrowia i życia jego oraz jego rodziny. Zarówno bowiem on sam, jak i jego rodzina byli przez wiele lat celem ataków ze strony nieznanych sprawców, którzy nie zostali zidentyfikowani. Ponadto w okresie 2005–2007 wielokrotnie wybito okna domu jego rodziny.

15

W nocy z dnia 6 na 7 października 2007 r. doszło do kolejnego ataku. Szyba we wspomnianym domu została wybita strzałem z procy. Dzięki wspomnianemu systemowi kamer możliwe było ustalenie tożsamości dwóch podejrzanych. Nagrania zostały przekazane policji i następnie przedstawione jako dowód w ramach wszczętego postępowania karnego.

16

Jeden z tych podejrzanych zażądał weryfikacji legalności systemu kamer F. Ryneša, w wyniku czego Úřad decyzją z dnia 4 sierpnia 2008 r. stwierdził, że F. Ryneš dopuścił się naruszenia ustawy nr 101/2000 z uwagi na fakt, że:

17

František Ryneš wystąpił ze skargą na tę decyzję do Městský soud v Praze (sądu miejskiego w Pradze), który ją oddalił wyrokiem z dnia 25 kwietnia 2012 r. Od tego wyroku F. Ryneš wniósł skargę kasacyjną do sądu odsyłającego.

18

W tych okolicznościach Nejvyšší správní soud (naczelny sąd administracyjny) postanowił zawiesić postępowanie i zwrócić się do Trybunału z następującym pytaniem prejudycjalnym:

„Czy [wykorzystywanie] systemu kamer zainstalowan[ego] na domu rodzinnym w celu ochrony własności, zdrowia i życia właścicieli domu może zostać zaklasyfikowane jako przetwarzanie danych osobowych przez »osobę fizyczną w trakcie czynności o czysto osobistym lub domowym charakterze« w rozumieniu art. 3 ust. 2 dyrektywy 95/46 […], pomimo że system taki monitoruje również przestrzeń publiczną?”.

19

Poprzez swoje pytanie sąd odsyłający zmierza zasadniczo do ustalenia, czy art. 3 ust. 2 tiret drugie dyrektywy 95/46 należy interpretować w ten sposób, że wykorzystywanie systemu kamer przechowującego zapis obrazu osób na sprzęcie nagrywającym w sposób ciągły, takim jak dysk twardy, zainstalowanego przez osobę fizyczną na jej domu rodzinnym w celu ochrony własności, zdrowia i życia właścicieli domu, który to system monitoruje również przestrzeń publiczną, stanowi przetwarzanie danych w trakcie czynności o czysto osobistym lub domowym charakterze w rozumieniu tego przepisu.

20

Należy przypomnieć, że zgodnie z art. 3 ust. 1 tej dyrektywy stosuje się ją „do przetwarzania danych osobowych w całości lub w części w sposób zautomatyzowany oraz innego przetwarzania danych osobowych, stanowiących część zbioru danych lub mających stanowić część zbioru danych”.

21

Pojęcie „danych osobowych”, które pojawia się w niniejszym przepisie, zgodnie z definicją zawartą w art. 2 lit. a) dyrektywy 95/46, obejmuje „wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej”. Osoba możliwa do zidentyfikowania to „osoba, której tożsamość można ustalić bezpośrednio lub pośrednio, szczególnie przez powołanie się na […] jeden bądź kilka szczególnych czynników określających jej fizyczną […] tożsamość”.

22

Wobec tego obraz osoby zarejestrowany przez kamerę stanowi dane osobowe w rozumieniu przepisu wskazanego w powyższym punkcie, o ile pozwala on ustalić tożsamość danej osoby.

23

W odniesieniu do pojęcia „przetwarzania danych osobowych” należy zauważyć, że jest ono zdefiniowane w art. 2 lit. b) dyrektywy 95/46 jako „każd[a] operacj[a] lub [każdy] zestaw operacji dokonywanych na danych osobowych […], jak np. gromadzenie, rejestracja, […] przechowywanie”.

24

Jak wynika w szczególności z motywów 15 i 16 dyrektywy 95/46 nadzór kamer wideo wchodzi zasadniczo w zakres stosowania niniejszej dyrektywy, o ile stanowi on zautomatyzowane przetwarzanie danych.

25

Nadzór polegający na rejestracji obrazu osób, tak jak w sprawie będącej przedmiotem postępowania głównego, przechowywanego na sprzęcie nagrywającym w sposób ciągły, a mianowicie na twardym dysku, stanowi na podstawie art. 3 ust. 1 dyrektywy 95/46 zautomatyzowane przetwarzanie danych osobowych.

26

Sąd odsyłający pragnie ustalić, czy takie przetwarzanie – w takich okolicznościach jak w postępowaniu głównym – jest jednak wyłączone z zakresu stosowania niniejszej dyrektywy jako dokonywane „w trakcie czynności o czysto osobistym lub domowym charakterze” w rozumieniu art. 3 ust. 2 tiret drugie wskazanej dyrektywy.

27

Jak wynika z art. 1 i motywu 10 dyrektywy 95/46, jej celem jest zapewnienie wysokiego poziomu ochrony podstawowych praw i wolności osób fizycznych, a szczególnie prawa do prywatności w zakresie przetwarzania danych osobowych (zob. wyrok Google Spain i Google, C‑131/12, EU:C:2014:317, pkt 66).

28

W tym względzie należy zauważyć, że zgodnie z utrwalonym orzecznictwem ochrona prawa podstawowego do prywatności, zagwarantowanego przez art. 7 Karty praw podstawowych Unii Europejskiej, wymaga, aby odstępstwa od ochrony danych osobowych i jej ograniczenia były stosowane jedynie wtedy, gdy jest to absolutnie konieczne (zob. wyroki: IPI, C‑473/12, EU:C:2013:715, pkt 39; a także Digital Rights Ireland i in., C‑293/12 i C‑594/12, EU:C:2014:238, pkt 52).

29

W zakresie, w jakim przepisy dyrektywy 95/46 regulujące kwestię przetwarzania danych osobowych mogącego naruszyć podstawowe wolności, a w szczególności prawo do prywatności, muszą być bezwzględnie interpretowane z punktu widzenia praw podstawowych, które zostały zawarte w wyżej wskazanej karcie (zob. wyrok Google Spain i Google, EU:C:2014:317, pkt 68), odstępstwo przewidziane w art. 3 ust. 2 tiret drugie tej dyrektywy musi podlegać ścisłej wykładni.

30

Ta ścisła wykładnia znajduje swoje uzasadnienie także w samym brzmieniu analizowanego przepisu, który wyłącza z zakresu stosowania dyrektywy 95/46 przetwarzanie danych wykonywane w trakcie czynności nie tylko o osobistym lub domowym charakterze, lecz o „czysto” osobistym lub domowym charakterze.

31

Biorąc pod uwagę powyższe rozważania, należy stwierdzić, podobnie jak rzecznik generalny w pkt 53 opinii, że przetwarzanie danych osobowych jest objęte odstępstwem przewidzianym w art. 3 ust. 2 tiret drugie dyrektywy 95/46 jedynie w wypadku, gdy jest ono wykonywane w ramach sfery o czysto osobistym lub domowym charakterze, należącej do osoby, która dokonuje tego przetwarzania.

32

Tym samym, w odniesieniu do osób fizycznych korespondencja i przechowywanie spisów adresów w świetle motywu 12 dyrektywy 95/46 stanowi „działania o charakterze wyłącznie osobistym lub domowym” [„czynności o czysto osobistym lub domowym charakterze”], choćby nawet w sposób incydentalny dotyczyły one lub mogły dotyczyć życia prywatnego innych osób.

33

O ile nadzór kamer wideo, taki jak ten w postępowaniu głównym, rozciąga się choćby częściowo na przestrzeń publiczną i tym samym jest skierowany poza sferę prywatną osoby dokonującej w ten sposób przetwarzania danych, o tyle nie powinien on być rozumiany jako czynność o czysto „osobistym lub domowym charakterze” w rozumieniu art. 3 ust. 2 tiret drugie dyrektywy 95/46.

34

Jednocześnie zastosowanie przepisów tej dyrektywy pozwala, w razie konieczności, uwzględnić, w szczególności zgodnie z art. 7 lit. f), art. 11 ust. 2, a także art. 13 ust. 1 lit. d) i g) niniejszej dyrektywy, uzasadnione interesy administratora danych, które w szczególności obejmują, tak jak w sprawie będącej przedmiotem postępowania głównego, ochronę własności, zdrowia i życia tego administratora, a także jego rodziny.

35

W konsekwencji na przedłożone pytanie należy udzielić następującej odpowiedzi: art. 3 ust. 2 tiret drugie dyrektywy 95/46 należy interpretować w ten sposób, że wykorzystywanie systemu kamer przechowującego zapis obrazu osób na sprzęcie nagrywającym w sposób ciągły, takim jak dysk twardy, zainstalowanego przez osobę fizyczną na jej domu rodzinnym w celu ochrony własności, zdrowia i życia właścicieli domu, który to system monitoruje również przestrzeń publiczną, nie stanowi przetwarzania danych w trakcie czynności o czysto osobistym lub domowym charakterze w rozumieniu tego przepisu.

36

Dla stron w postępowaniu głównym niniejsze postępowanie ma charakter incydentalny, dotyczy bowiem kwestii podniesionej przed sądem odsyłającym, do niego zatem należy rozstrzygnięcie o kosztach. Koszty poniesione w związku z przedstawieniem uwag Trybunałowi, inne niż koszty stron w postępowaniu głównym, nie podlegają zwrotowi.

Z powyższych względów Trybunał (czwarta izba) orzeka, co następuje:

Artykuł 3 ust. 2 tiret drugie dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych należy interpretować w ten sposób, że wykorzystywanie systemu kamer przechowującego zapis obrazu osób na sprzęcie nagrywającym w sposób ciągły, takim jak dysk twardy, zainstalowanego przez osobę fizyczną na jej domu rodzinnym w celu ochrony własności, zdrowia i życia właścicieli domu, który to system monitoruje również przestrzeń publiczną, nie stanowi przetwarzania danych w trakcie czynności o czysto osobistym lub domowym charakterze w rozumieniu tego przepisu.

Podpisy