CELEX: 62009CJ0092
Ochrona osób fizycznych w zakresie przetwarzania danych osobowych
Publikacja informacji na temat beneficjentów dopłat rolnych
Ważność przepisów prawa Unii przewidujących taką publikację i jej formę
Karta praw podstawowych
Artykuł 7 i 8
Dyrektywa 95/46/WE
Wykładnia art. 18 i 20

Wnioski o wydanie orzeczenia w trybie prejudycjalnym dotyczą wykładni z jednej strony art. 42 pkt 8b oraz art. 44a rozporządzenia
Rady (WE) nr 1290/2005 z dnia 21 czerwca 2005 r. w sprawie finansowania wspólnej polityki rolnej (Dz.U. L 209, s. 1), zmienionego
rozporządzeniem Rady (WE) nr 1437/2007 z dnia 26 listopada 2007 r. (Dz.U. L 322, s. 1) (zwanego dalej „rozporządzeniem nr 1290/2005”),
oraz z drugiej strony rozporządzenia Komisji (WE) nr 259/2008 z dnia 18 marca 2008 r. ustanawiającego szczegółowe zasady stosowania
rozporządzenia Rady (WE) nr 1290/2005 w zakresie publikowania informacji na temat beneficjentów środków pochodzących z Europejskiego
Funduszu Rolniczego Gwarancji (EFRG) i Europejskiego Funduszu Rolnego na rzecz Rozwoju Obszarów Wiejskich (EFRROW) (Dz.U.
L 76, s. 28) i dyrektywy 2006/24/WE Parlamentu Europejskiego i Rady z dnia 15 marca 2006 r. w sprawie zatrzymywania generowanych
lub przetwarzanych danych w związku ze świadczeniem ogólnie dostępnych usług łączności elektronicznej lub udostępnianiem publicznych
sieci łączności oraz zmieniającej dyrektywę 2002/58/WE (Dz.U. L 105, s. 54). Na wypadek gdyby Trybunał nie stwierdził nieważności
powyższych uregulowań unijnych, wnioski o wydanie orzeczenia w trybie prejudycjalnym dotyczą również wykładni art. 7, art. 18
ust. 2 tiret drugie i art. 20 dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie
ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.U. L 281, s. 31).
Wnioski te zostały złożone w ramach sporów między Volker und Markus Schecke GbR oraz H. Eifertem (zwanymi dalej „skarżącymi
w postępowaniu przed sądem krajowym”) a krajem związkowym Hesja w przedmiocie publikacji na stronie internetowej Bundesanstalt
für Landwirtschaft und Ernährung (federalnego instytutu rolnictwa i wyżywienia, zwanego dalej „Bundesanstalt”) danych osobowych
dotyczących ich jako beneficjentów środków pochodzących z EFRG lub EFRROW.
I –
Ramy prawne
A –
Europejska Konwencja o ochronie praw człowieka i podstawowych wolności
Artykuł 8 europejskiej Konwencji o ochronie praw człowieka i podstawowych wolności podpisanej w Rzymie w dniu 4 listopada
1950 r. (zwanej dalej „EKPC”), zatytułowany „Prawo do poszanowania życia prywatnego i rodzinnego”, stanowi:
„1.      Każdy ma prawo do poszanowania swojego życia prywatnego i rodzinnego, swojego mieszkania i swojej korespondencji.
2.      Niedopuszczalna jest ingerencja władzy publicznej w korzystanie z tego prawa, z wyjątkiem przypadków przewidzianych przez
ustawę i koniecznych w demokratycznym społeczeństwie z uwagi na bezpieczeństwo państwowe, bezpieczeństwo publiczne lub dobrobyt
gospodarczy kraju, ochronę porządku i zapobieganie przestępstwom, ochronę zdrowia i moralności lub ochronę praw i wolności
innych osób”.
B –
Prawo Unii
1.     Dyrektywa 95/46
Z art. 1 ust. 1 dyrektywy 95/46 wynika, że ma ona na celu zapewnienie ochrony podstawowych praw i wolności osób fizycznych,
w szczególności ich prawa do prywatności, w odniesieniu do przetwarzania danych osobowych. Zgodnie z art. 2 lit. a) tej dyrektywy
dane osobowe oznaczają „wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej”.
Zgodnie z art. 7 wspomnianej dyrektywy „[p]aństwa członkowskie zapewniają, że dane osobowe mogą być przetwarzane tylko wówczas,
gdy:
a)      osoba, której dane dotyczą, jednoznacznie wyraziła na to zgodę; lub
[…]
c)      przetwarzanie danych jest konieczne dla wykonania zobowiązania prawnego, któremu administrator danych podlega;
lub
[…]
e)      przetwarzanie danych jest konieczne dla realizacji zadania wykonywanego w interesie publicznym lub dla wykonywania władzy
publicznej przekazanej administratorowi danych lub osobie trzeciej, przed którą ujawnia się dane;
[…]”.
Zgodnie z art. 18 ust. 1 dyrektywy 95/46 „[p]aństwa członkowskie zobowiązują administratora danych lub jego ewentualnego przedstawiciela
do zawiadomienia organu nadzorczego [kontrolnego], wymienionego w art. 28, przed przeprowadzeniem całościowej lub częściowej
operacji automatycznego przetwarzania”.
Artykuł 18 ust. 2 tiret drugie dyrektywy 95/46 stanowi, że państwa członkowskie mogą wprowadzić uproszczenie procedury lub
zwolnienie z obowiązku zawiadomienia tylko w następujących sytuacjach oraz na następujących warunkach:
„jeżeli administrator danych, zgodnie z dotyczącymi go przepisami krajowymi, powoła urzędnika do spraw ochrony danych osobowych,
odpowiedzialnego w szczególności:
–        za zapewnienie w niezależny sposób wewnętrznego stosowania przepisów prawa krajowego przyjętych na mocy niniejszej dyrektywy,
–        za prowadzenie rejestru operacji przetwarzania danych wykonywanych przez administratora danych i zawierających informacje
określone w art. 21 ust. 2,
zapewniając przy tym, że nie zostaną naruszone prawa i wolności osób, których dane dotyczą”.
Artykuł 19 ust. 1 dyrektywy 95/46 stanowi:
„Państwa członkowskie ustalają, jakie informacje zostaną podane w zawiadomieniu. Obejmują one co najmniej:
a)      nazwę (nazwisko) i adres administratora danych i ewentualnie jego przedstawiciela;
b)      cel lub cele przetwarzania danych;
c)      opis kategorii osób, których dane dotyczą, oraz danych lub kategorii danych, które się do nich odnoszą;
d)      odbiorcę lub kategorie odbiorców, którym dane mogą być ujawnione;
e)      propozycje przekazania danych do państw trzecich;
[…]”.
Artykuł 20 dyrektywy 95/46, zatytułowany „Kontrola wstępna”, przewiduje w ust. 1 i 2:
„1.      Państwa członkowskie definiują operacje przetwarzania danych mogące stwarzać określone [szczególne] zagrożenia dla praw i wolności
osób, których dane dotyczą, oraz kontrolują, czy dane te są badane przed ich rozpoczęciem.
2.      Kontrole wstępne są przeprowadzane przez organ nadzorczy [kontrolny] po przyjęciu od administratora danych lub urzędnika odpowiedzialnego
za ochronę danych zawiadomienia, którzy w razie wątpliwości powinni zasięgać opinii organu [kontrolnego]”.
Zgodnie z art. 21 ust. 2 akapity pierwszy i drugi dyrektywy 95/46 „[p]aństwa członkowskie zapewniają, aby organ [kontrolny]
prowadził rejestr operacji przetwarzania danych zgłoszonych zgodnie z art. 18 […] [, który] zawiera co najmniej informacje
wymienione w art. 19 ust. 1 lit. a)–e)”.
Zgodnie z art. 28 dyrektywy 95/46 każde państwo członkowskie zobowiązane jest wyznaczyć co najmniej jeden organ władzy publicznej
(zwany dalej „organem kontrolnym”) odpowiedzialny za kontrolę, w sposób całkowicie niezależny, stosowania na jego terytorium
przepisów krajowych przyjętych w wykonaniu tej dyrektywy.
2.     Rozporządzenie nr 45/2001
Rozporządzenie (WE) nr 45/2001 Parlamentu Europejskiego i Rady z dnia 18 grudnia 2000 r. o ochronie osób fizycznych w związku
z przetwarzaniem danych osobowych przez instytucje i organy wspólnotowe i o swobodnym przepływie takich danych (Dz.U. 2001,
L 8, s. 1) stanowi w art. 27 ust. 1 i 2:
„1.      Operacje przetwarzania, mogące ze swej natury przez swój zakres lub swoje cele stworzyć konkretne [szczególne] zagrożenia
dla praw i wolności podmiotów danych, podlegają uprzedniemu sprawdzeniu przez Europejskiego Inspektora Ochrony Danych.
2.      Następujące operacje przetwarzania mogą stworzyć takie zagrożenia:
a)      przetwarzanie danych odnoszących się do zdrowia i dotyczących podejrzeń o popełnienie przestępstwa, przestępstw, wyroków karnych
lub środków bezpieczeństwa;
b)      operacje przetwarzania zmierzające do oceny aspektów osobistych odnoszących się do podmiotu danych, włącznie z jego możliwościami,
wydajnością lub postępowaniem;
c)      operacje przetwarzania zezwalające na stworzenie powiązań między danymi przetwarzanymi dla różnych celów, nieuwzględnionymi
w odpowiednim ustawodawstwie krajowym lub legislacji wspólnotowej;
d)      operacje przetwarzania w celu pozbawienia jednostki prawa, świadczenia lub wyłączenia jej z umowy”.
3.     Dyrektywa 2006/24
Dyrektywa 2006/24 zobowiązuje państwa członkowskie do zatrzymywania danych generowanych lub przetwarzanych w związku ze świadczeniem
ogólnie dostępnych usług łączności elektronicznej lub udostępnianiem publicznych sieci łączności.
4.     Rozporządzenie nr 1290/2005
Rozporządzenie nr 1290/2005 określa warunki i zasady mające zastosowanie do finansowania wydatków ponoszonych w ramach wspólnej
polityki rolnej (zwanej dalej „WPR”).
Artykuł 42 rozporządzenia nr 1290/2005 stanowi, że zasady stosowania niniejszego rozporządzenia ustanawia Komisja Europejska.
Zgodnie z art. 42 pkt 8b tego rozporządzenia Komisja ustala między innymi:
„szczegółowe zasady dotyczące publikowania informacji o beneficjentach, o których mowa w art. 44a, w tym aspekty praktyczne
związane z ochroną osób w związku z przetwarzaniem ich danych osobowych zgodnie z zasadami określonymi w przepisach wspólnotowych
dotyczących ochrony danych. Przepisy te powinny zapewnić w szczególności informowanie beneficjentów funduszy o możliwości
podania tych danych do wiadomości publicznej oraz przetwarzania ich przez organy kontrolne i śledcze w celu ochrony interesów
finansowych Wspólnot, a także powinny określać, kiedy informacja ta jest przekazywana beneficjentom”.
Artykuł 44a rozporządzenia nr 1290/2005, zatytułowany „Publikacja wykazu beneficjentów”, stanowi:
„[…] państwa członkowskie zapewniają coroczną publikację ex post wykazu beneficjentów funduszy EFRG i EFRROW oraz kwot otrzymanych
przez każdego beneficjenta w ramach każdego z tych funduszy.
Publikacja takiego wykazu obejmuje przynajmniej:
a)      w odniesieniu do EFRG kwotę podzieloną na płatności bezpośrednie w rozumieniu art. 2 lit. d) rozporządzenia (WE) nr 1782/2003
i inne wydatki;
b)      w odniesieniu do EFRROW łączną kwotę finansowania ze środków publicznych na beneficjenta”.
W tym kontekście motywy 13 i 14 rozporządzenia nr 1437/2007, zmieniającego rozporządzenie nr 1290/2005, mają brzmienie następujące:
„(13) W celu wprowadzenia w życie europejskiej inicjatywy na rzecz przejrzystości, w ramach przeglądu rozporządzenia Rady (WE, Euratom)
nr 1605/2002 z dnia 25 czerwca 2002 r. w sprawie rozporządzenia finansowego mającego zastosowanie do budżetu ogólnego Wspólnot
Europejskich [Dz.U. L 248, s. 1], do rozporządzenia tego dodano przepisy dotyczące corocznej publikacji ex post wykazu beneficjentów
środków finansowych pochodzących z budżetu. Sposób publikacji takich informacji ma zostać określony w rozporządzeniach dotyczących
poszczególnych sektorów. Zarówno EFRG, jak i EFRROW stanowią część budżetu ogólnego Wspólnot Europejskich i finansują wydatki
na zasadzie podziału zarządzania między państwami członkowskimi i Wspólnotą. Należy zatem określić zasady publikowania informacji
na temat beneficjentów tych funduszy. W związku z tym państwa członkowskie powinny zapewnić coroczną publikację ex post wykazu
beneficjentów oraz kwot otrzymanych przez każdego beneficjenta w ramach każdego z tych funduszy.
(14)      Udostępnienie tych informacji do publicznej wiadomości zwiększa przejrzystość wykorzystania środków wspólnotowych w ramach
[WPR] oraz jakość finansowego zarządzania wspomnianymi funduszami, w szczególności przez wzmocnienie publicznej kontroli wykorzystanych
środków finansowych. Przez wzgląd na nadrzędną wagę wyznaczonych celów uzasadnione jest, przy poszanowaniu zasady proporcjonalności
i wymogu ochrony danych osobowych, przyjęcie przepisu przewidującego podanie do wiadomości ogólnej stosownych informacji,
ponieważ nie wykracza on poza to, co jest konieczne w społeczeństwie demokratycznym w celu zapobiegania nieprawidłowościom.
Uwzględniając opinię Europejskiego Inspektora Ochrony Danych z dnia 10 kwietnia 2007 r. [Dz.U. C 134, s. 1], należy przewidzieć
sposób informowania beneficjentów funduszy o tym, że takie dane mogą być upubliczniane i że mogą być przetwarzane przez organy
kontrolne i śledcze”.
5.     Rozporządzenie nr 259/2008
Na podstawie art. 42 pkt 8b rozporządzenia nr 1290/2005 Komisja przyjęła rozporządzenie nr 259/2008.
Motyw 6 tego rozporządzenia ma brzmienie następujące:
„Udostępnienie […] informacji [dotyczących beneficjentów środków pochodzących z EFRG i EFRROW] do publicznej wiadomości zwiększa
przejrzystość wykorzystania środków wspólnotowych w ramach [WPR] oraz jakość finansowego zarządzania wspomnianymi funduszami,
w szczególności przez wzmocnienie publicznej kontroli wykorzystanych środków finansowych. Przez wzgląd na nadrzędną wagę wyznaczonych
celów uzasadnione jest, przy poszanowaniu zasady proporcjonalności i wymogu ochrony danych osobowych, przyjęcie przepisu przewidującego
podanie do wiadomości ogólnej stosownych informacji, ponieważ nie wykracza on poza to, co jest konieczne w społeczeństwie
demokratycznym do zapobiegania nieprawidłowościom”.
W motywie 7 tego rozporządzenia zaznaczono, że „[w] celu spełnienia wymagań dotyczących ochrony danych osobowych beneficjenci
funduszy powinni być uprzednio poinformowani o możliwości publikacji ich danych”.
Artykuł 1 ust. 1 rozporządzenia nr 259/2008 określa treść publikacji, o której mowa w art. 44a rozporządzenia nr 1290/2005,
i stanowi, że zawarte są w niej następujące informacje:
„a)      imię i nazwisko, jeśli beneficjentem jest osoba fizyczna;
b)      pełna nazwa oficjalna w formie, w jakiej została zarejestrowana, w przypadku gdy beneficjentem jest osoba prawna;
c)      pełna nazwa stowarzyszenia w formie, w jakiej została zarejestrowana lub w inny sposób urzędowo uznana, w przypadku gdy beneficjentem
jest stowarzyszenie osób fizycznych lub prawnych niebędące odrębną osobą prawną;
d)      gmina, na której terenie beneficjent ma miejsce zamieszkania lub siedzibę, oraz, o ile to możliwe, kod pocztowy lub jego część
pozwalająca na identyfikację gminy;
e)      w odniesieniu do [EFRG] kwota płatności bezpośrednich w rozumieniu art. 2 lit. d) rozporządzenia (WE) nr 1782/2003, jaką każdy
beneficjent otrzymał w danym roku budżetowym;
f)      w odniesieniu do EFRG kwota płatności innych niż te, o których mowa w lit. e), które beneficjent otrzymał w danym roku budżetowym;
g)      w odniesieniu do [EFRROW] całkowita kwota finansowania publicznego, jaką każdy beneficjent otrzymał w danym roku budżetowym,
obejmująca wkład wspólnotowy i krajowy;
h)      suma kwot określonych w lit. e), f) i g) otrzymana przez każdego beneficjenta w danym roku budżetowym;
i)      waluta tych kwot”.
Zgodnie z art. 2 rozporządzenia nr 259/2008 „[i]nformacje określone w art. 1 są udostępniane na stronie internetowej, po jednej
na każde państwo członkowskie, pod postacią wyszukiwarki umożliwiającej użytkownikom przeszukiwanie danych w oparciu o kryteria
takie jak nazwa beneficjenta, gmina, otrzymane kwoty określone w lit. e), f), g) i h) art. 1 lub ich kombinację, oraz wyodrębnienie
odpowiednich informacji w formie pojedynczego zestawu danych”.
Artykuł 3 ust. 3 tego rozporządzenia uściśla, że „[i]nformacje są dostępne na stronie internetowej przez dwa lata od daty
ich początkowej publikacji”.
Artykuł 4 rozporządzenia nr 259/2008 stanowi:
„1.      Państwa członkowskie informują beneficjentów o tym, że ich dane będą publikowane zgodnie z rozporządzeniem (WE) nr 1290/2005
oraz niniejszym rozporządzeniem, oraz informują ich o możliwości przetwarzania danych przez organy audytowe i dochodzeniowe
Wspólnot i państw członkowskich dla zabezpieczenia interesów finansowych Wspólnot.
2.      W przypadku danych osobowych informacje określone w ust. 1 są dostarczane zgodnie z wymaganiami dyrektywy 95/46/WE, a beneficjenci
są informowani o swoich prawach jako podmiot danych na mocy tej dyrektywy oraz o procedurach umożliwiających skorzystanie
z tych praw.
3.      Informacje określone w ust. 1 i 2 są przekazywane beneficjentom za pośrednictwem formularzy wniosków o dofinansowanie z funduszy
EFRG i EFRROW lub w momencie zbierania danych.
[…]”.
II –
Postępowania przed sądem krajowym i pytania prejudycjalne
Skarżący w postępowaniu przed sądem krajowym, mający siedzibę lub miejsce zamieszkania w kraju związkowym Hesja, to odpowiednio
przedsiębiorstwo rolne mające formę prawną spółki prawa cywilnego (sprawa C‑92/09) i rolnik indywidualny (sprawa C‑93/09).
Z tytułu roku budżetowego 2008 złożyli we właściwym organie lokalnym wnioski o środki pochodzące z EFRG lub EFRROW, które
zostały uwzględnione decyzjami z dnia 5 grudnia 2008 r. (sprawa C‑93/09) i z dnia 31 grudnia 2008 r. (sprawa C‑92/09).
W obu przypadkach formularz wniosku zawierał następującą wzmiankę:
„Przyjmuję do wiadomości, że na podstawie art. 44a rozporządzenia (WE) nr 1290/2005 informacje o beneficjentach środków z EFRG
i EFRROW i o kwotach przez nich otrzymanych podlegają publikacji. Publikacja obejmuje wszystkie środki będące przedmiotem
pojedynczego wniosku w rozumieniu art. 11 rozporządzenia (WE) nr 796/2004 i następuje corocznie, najpóźniej w dniu 31 marca
kolejnego roku”.
Sąd krajowy wyjaśnia, że na stronie internetowej Bundesanstalt udostępnia się nazwy lub nazwiska beneficjentów pomocy z EFRG
lub EFRROW, miejscowości, w której mają siedzibę lub zamieszkują, wraz z jej kodem pocztowym oraz wysokości płatności otrzymanych
w danym roku. Strona ta wyposażona jest w wyszukiwarkę.
W dniach 26 września 2008 r. (sprawa C‑92/09) i 18 grudnia 2008 r. (sprawa C‑93/09) skarżący w postępowaniu przed sądem krajowym
wnieśli skargi mające na celu uniemożliwienie publikacji dotyczących ich danych. Ich zdaniem publikacja kwot otrzymanych z EFRG
lub EFRROW nie jest uzasadniona nadrzędnymi interesami publicznymi. Ponadto przepisy odnoszące się do Europejskiego Funduszu
Socjalnego nie przewidują imiennego wskazywania beneficjentów. W swoich skargach wnoszą o zobowiązanie kraju związkowego Hesji
do tego, aby zaniechał lub odmówił przekazania lub upublicznienia tych danych do celów ogólnej publikacji informacji dotyczących
środków finansowych pochodzących z EFRG i EFRROW, które zostały im przyznane.
Kraj związkowy Hesja, chociaż uważa, że obowiązek publikacji danych dotyczących skarżących w postępowaniu przed sądem krajowym
wynika z rozporządzeń nr 1290/2005 i 259/2008, zobowiązał się jednak do nieupubliczniania kwot otrzymanych przez tych skarżących
jako beneficjentów pomocy z EFRG lub EFRROW do chwili wydania ostatecznego orzeczenia w postępowaniach przed sądem krajowym.
Sąd krajowy uznaje, że obowiązek publikacji wynikający z art. 44a rozporządzenia nr 1290/2005 stanowi nieuzasadnione naruszenie
podstawowego prawa do ochrony danych osobowych. Uważa, że przepis ten, który realizuje cel zwiększenia przejrzystości wykorzystania
funduszy europejskich, nie wzmacnia zapobiegania nieprawidłowościom, gdyż istnieją służące temu szczegółowe mechanizmy kontroli.
Opierając się na wyroku z dnia 20 maja 2003 r. w sprawach połączonych C‑465/00, C‑138/01 i C‑139/01 Österreichischer Rundfunk
i in., Rec. s. I‑4989, sąd krajowy jest zdania, że w każdym razie wspomniany obowiązek publikacji nie jest proporcjonalny
do zamierzonego celu. Ponadto jego zdaniem art. 42 pkt 8b rozporządzenia nr 1290/2005 przyznaje Komisji zbyt szeroki zakres
uznania, jeżeli chodzi zarówno o określenie danych podlegających upublicznieniu, jak i sposobu publikacji, i jest tym samym
niezgodny z art. 202 tiret trzecie WE i art. 211 tiret czwarte WE.
Niezależnie od kwestii ważności art. 42 pkt 8b i art. 44a rozporządzenia nr 1290/2005 sąd krajowy uważa, że rozporządzenie
nr 259/2008, które przewiduje publikację informacji dotyczących beneficjentów pomocy z EFRG i EFRROW wyłącznie w Internecie,
narusza podstawowe prawo do ochrony danych osobowych. Podkreśla fakt, że to ostatnie rozporządzenie nie ogranicza dostępu
do danej strony internetowej na rzecz adresów „Internet Protocol” (zwanych dalej „adresami IP”) zlokalizowanych na terytorium
Unii Europejskiej. Poza tym nie ma możliwości wycofania danych z Internetu po upływie okresu dwóch lat przewidzianego w art. 3
ust. 3 rozporządzenia nr 259/2008. Zdaniem tego sądu fakt publikacji danych wyłącznie w Internecie ma ponadto efekt odstraszający.
Z jednej strony obywatele chcący zaczerpnąć informacji muszą mieć dostęp do Internetu. Z drugiej strony obywatele ci wystawiają
się na ryzyko przechowywania ich danych w rozumieniu dyrektywy 2006/24. Paradoksem jest zmierzanie do większej kontroli nad
telekomunikacją przy jednoczesnym udostępnianiu jedynie w formie elektronicznej informacji służących udziałowi społeczeństwa
w sprawach publicznych.
Na wypadek gdyby Trybunał nie stwierdził nieważności przepisów przywołanych w pkt 30 i 31 niniejszego wyroku, sąd krajowy
pragnie jeszcze uzyskać wykładnię różnych przepisów dyrektywy 95/46. Uważa, że publikacja danych osobowych może mieć miejsce
jedynie wtedy, gdy zostały podjęte środki przewidziane w art. 18 ust. 2 tiret drugie tej dyrektywy. Zgodnie z informacjami
przekazanymi przez sąd krajowy ustawodawca niemiecki, w szczególności ustawodawca heski, skorzystał z możliwości oferowanej
przez ten przepis. Niemniej zdaniem tego samego sądu zawiadomienie heskiego ministra środowiska, obszarów wiejskich i ochrony
konsumentów skierowane do urzędnika do spraw ochrony danych osobowych zostało dokonane w sposób niepełny. Urzędnikowi temu
nie zostały bowiem przekazane informacje takie jak fakt, że przetwarzania danych dokonuje Bundesanstalt na rachunek wspomnianego
kraju związkowego, ewentualnie z pomocą prywatnego podmiotu trzeciego, konkretne informacje dotyczące terminów usuwania danych
oraz dostawców dostępu do sieci i zatrzymywania adresów IP.
Ponadto publikację informacji dotyczących beneficjentów dopłat rolnych powinna poprzedzić kontrola wstępna przewidziana w art. 20
dyrektywy 95/46. Tymczasem zdaniem sądu krajowego w niniejszym przypadku kontrola wstępna nie została przeprowadzona przez
centralny organ kontroli, lecz przez inspektora ochrony danych odpowiedzialnego przedsiębiorstwa lub administracji i to na
podstawie niepełnych zawiadomień.
W końcu sąd krajowy ma wątpliwości co do legalności w świetle art. 7 lit. e) dyrektywy 95/46 zatrzymywania adresów IP użytkowników,
którzy sprawdzają informacje dotyczące beneficjentów pomocy z EFRG i EFRROW na stronie internetowej Bundesanstalt.
W tych warunkach Verwaltungsgericht Wiesbaden postanowił zawiesić postępowanie i skierować do Trybunału następujące pytania
prejudycjalne, zredagowane identycznie w sprawie C‑92/09 i C‑93/09:
„1)      Czy art. [42] pkt 8b i art. 44a rozporządzenia […] nr 1290/2005, wprowadzone doń w drodze rozporządzenia […] nr 1437/2007,
są nieważne?
2)      Czy rozporządzenie […] nr 259/2008 […]:
a)      jest nieważne,
b)      ważne, ale tylko dlatego, że dyrektywa 2006/24 […] jest nieważna?
Jeśli wspomniane w pierwszym i drugim pytaniu przepisy są ważne, to:
3)      Czy wykładni art. 18 ust. 2 tiret drugie dyrektywy 95/46 […] należy dokonywać w ten sposób, że publikacja na podstawie rozporządzenia
[…] nr 259/2008 może nastąpić dopiero wtedy, gdy przeprowadzone zostanie przewidziane w tym artykule postępowanie, które zastępuje
zawiadomienie organu kontrolnego?
4)      Czy wykładni art. 20 dyrektywy 95/46 […] należy dokonywać w ten sposób, że publikacja na podstawie rozporządzenia […] nr 259/2008
może nastąpić dopiero wtedy, gdy została przeprowadzona przewidziana dla takich przypadków w prawie krajowym kontrola wstępna?
5)      W razie udzielenia odpowiedzi twierdzącej na pytanie czwarte: czy wykładni art. 20 dyrektywy 95/46 […] należy dokonywać w ten
sposób, że kontrola przeprowadzona w oparciu o rejestr, o którym mowa w art. 18 ust. 2 tiret drugie tej dyrektywy, który jednak
nie zawiera określonej tam informacji, nie może być uznana za kontrolę skuteczną?
6)      Czy wykładni art. 7 – a w niniejszym przypadku w szczególności lit. e) – dyrektywy 95/46 […] należy dokonywać w ten sposób,
że stoi on na przeszkodzie praktyce polegającej na zatrzymywaniu adresów IP użytkowników strony internetowej bez ich wyraźnej
zgody?”.
Postanowieniem prezesa Trybunału z dnia 4 maja 2009 r. sprawy C‑92/09 i C‑93/09 zostały połączone do celów procedury pisemnej
i ustnej, jak również do celów wydania wyroku.
III –
W przedmiocie pytań prejudycjalnych
Postanowienia odsyłające zawierają z jednej strony pytania dotyczące ważności rozporządzeń nr 1290/2005 i 259/2008, to jest
pytania pierwsze i drugie, a z drugiej strony pytania dotyczące wykładni dyrektywy 95/46, to jest pytania od trzeciego do
szóstego. Przed rozpatrzeniem istoty sprawy należy zbadać dopuszczalność zarówno drugiej części pytania drugiego, jak i pytania
szóstego.
A –
W przedmiocie dopuszczalności
W drugiej części pytania drugiego i pytaniu szóstym sąd krajowy zwraca się do Trybunału odpowiednio z kwestią ważności dyrektywy
2006/24 i wykładni art. 7 lit. e) dyrektywy 95/46, aby móc ustalić, czy zatrzymywanie określonych danych dotyczących użytkowników
stron internetowych przewidziane w prawie Unii i ustawodawstwie niemieckim jest zgodne z prawem.
W tym kontekście należy przypomnieć najpierw, że o ile z uwagi na podział kompetencji w ramach postępowania w przedmiocie
wniosku o wydanie orzeczenia w trybie prejudycjalnym wyłącznie do sądu krajowego należy określenie przedmiotu pytań, które
zamierza on zadać Trybunałowi, Trybunał orzekł, że w szczególnych okolicznościach to do niego należy ocena warunków, w jakich
sąd krajowy kieruje do niego wniosek, w celu zweryfikowania własnej kompetencji (wyrok z dnia 1 października 2009 r. w sprawie
C‑567/07 Woningstichting Sint Servatius, Zb.Orz. s. I‑9021, pkt 42).
Tak jest w szczególności, w przypadku gdy problem przedłożony Trybunałowi jest natury hipotetycznej albo gdy wykładnia normy
unijnej lub ocena jej ważności, o którą wnioskuje sąd krajowy, nie ma żadnego związku z rzeczywistością lub przedmiotem sporu
w postępowaniu przed sądem krajowym (zob. podobnie wyroki: z dnia 15 grudnia 1995 r. w sprawie C‑415/93 Bosman, Rec. s. I‑4921,
pkt 61; z dnia 15 czerwca 2006 r. w sprawie C‑466/04 Acereda Herrera, Zb.Orz. s. I‑5341, pkt 48; z dnia 31 stycznia 2008 r.
w sprawie C‑380/05 Centro Europa 7, Zb.Orz. s. I‑349, pkt 53; ww. wyrok w sprawie Woningstichting Sint Servatius, pkt 43).
Z postanowień odsyłających wynika, że każdy ze skarżących w postępowaniu przed sądem krajowym wniósł do sądu krajowego skargę
na publikację na podstawie rozporządzeń nr 1290/2005 i 259/2008 dotyczących ich danych. Ich skargi zmierzają do tego, aby
kraj związkowy Hesja zaniechał lub odmówił przekazania lub publikacji informacji dotyczących dotacji, które otrzymali z EFRG
i EFRROW.
Druga część pytania drugiego i pytanie szóste nie mają związku z przedmiotem sporów przed sądem krajowym. Nie dotyczą one
bowiem publikacji danych dotyczących beneficjentów dotacji ze wspomnianych funduszy, takich jak skarżący w postępowaniu przed
sądem krajowym, ale zatrzymywania danych dotyczących osób przeglądających strony internetowe. Ponieważ badanie drugiej części
pytania drugiego i pytania szóstego nie ma żadnej użyteczności dla rozstrzygnięcia sporu przed sądem krajowym, nie ma potrzeby
odpowiadania na nie.
B –
Co do istoty
1.     W przedmiocie pytania pierwszego i pierwszej części pytania drugiego
a)     Uwagi wstępne
Poprzez pytanie pierwsze i pierwszą część pytania drugiego sąd krajowy zwraca się do Trybunału o zbadanie ważności z jednej
strony art. 44a rozporządzenia nr 1290/2005 oraz rozporządzenia nr 259/2008 zawierającego szczegółowe zasady stosowania obowiązku
publikacji ustanowionego w tym art. 44a, a z drugiej strony art. 42 pkt 8b rozporządzenia nr 1290/2005 – przepisu stanowiącego
podstawę prawną rozporządzenia nr 259/2008.
Sąd krajowy stoi na stanowisku, że obowiązek publikacji danych dotyczących beneficjentów pomocy z EFRG i EFRROW, który wynika
z przepisów przytoczonych w poprzednim punkcie, stanowi nieuzasadnione naruszenie podstawowego prawa do ochrony danych osobowych.
Odwołuje się w tym względzie zasadniczo do art. 8 EKPC.
Należy przypomnieć, że zgodnie z art. 6 ust. 1 TUE Unia uznaje prawa, wolności i zasady określone w Karcie praw podstawowych
Unii Europejskiej (zwanej dalej „kartą”), która ma taką samą moc prawną jak traktaty.
W tych warunkach ważność art. 42 pkt 8b i art. 44a rozporządzenia nr 1290/2005 oraz rozporządzenia nr 259/2008 należy oceniać
w świetle postanowień karty.
W tym kontekście art. 8 ust. 1 karty stanowi, że „[k]ażda osoba ma prawo do ochrony danych osobowych jej dotyczących”. To
prawo podstawowe jest ściśle związane z prawem do poszanowania życia prywatnego ustanowionym w art. 7 karty.
Prawo do ochrony danych osobowych nie stanowi jednak prerogatywy o charakterze absolutnym i powinno być oceniane w świetle
jego funkcji społecznej (zob. podobnie wyrok z dnia 12 czerwca 2003 r. w sprawie C‑112/00 Schmidberger, Rec. s. I‑5659, pkt 80
i przytoczone tam orzecznictwo).
Artykuł 8 ust. 2 karty zezwala tym sposobem na przetwarzanie danych osobowych, jeżeli spełnione są określone warunki. W tym
względzie postanowienie to przewiduje, że dane osobowe „muszą być przetwarzane rzetelnie w określonych celach i za zgodą osoby
zainteresowanej lub na innej uzasadnionej podstawie przewidzianej ustawą”.
Ponadto art. 52 ust. 1 karty dopuszcza wprowadzenie ograniczeń w wykonywaniu praw takich jak prawa ustanowione w art. 7 i 8
karty, o ile przewidziane są one ustawą, szanują istotę tych praw i wolności i z zastrzeżeniem zasady proporcjonalności są
konieczne i rzeczywiście odpowiadają celom interesu ogólnego uznanym przez Unię lub potrzebom ochrony praw i wolności innych
osób.
W końcu z art. 52 ust. 3 karty wynika, że w zakresie, w jakim zawiera ona prawa, które odpowiadają prawom zagwarantowanym
w EKPC, ich znaczenie i zakres są takie same jak praw przyznanych przez tę konwencję. Artykuł 53 karty dodaje w tym kontekście,
że żadne z jej postanowień nie może być interpretowane jako ograniczające lub naruszające prawa uznane w szczególności w EKPC.
W tych warunkach należy uznać z jednej strony, że poszanowanie życia prywatnego w kontekście przetwarzania danych osobowych,
uznane w art. 7 i 8 karty, odnosi się do wszelkich informacji dotyczących zidentyfikowanej lub możliwej do zidentyfikowania
osoby fizycznej (zob. m.in. wyroki Europejskiego Trybunału Praw Człowieka, zwanego dalej „ETPC”: z dnia 16 lutego 2000 r.
w sprawie Amann przeciwko Szwajcarii,
Recueil des arrêts et décisions
, 2000‑II, § 65; z dnia 4 maja 2000 r. w sprawie Rotaru przeciwko Rumunii,
Recueil des arrêts et décisions
, 2000‑V, § 43), a z drugiej strony, że ograniczenia prawa do ochrony danych osobowych mogą być uzasadnione, jeżeli odpowiadają
tym, które są tolerowane w ramach art. 8 EKPC.
b)     W przedmiocie ważności art. 44a rozporządzenia nr 1290/2005 i rozporządzenia nr 259/2008
W pierwszej kolejności należy przypomnieć, że publikacja wymagana w art. 44a rozporządzenia nr 1290/2005 i rozporządzeniu
nr 259/2008 wykonującym ten artykuł wskazuje imiennie wszystkich beneficjentów pomocy z EFRG i EFRROW, wśród których figurują
jednocześnie osoby fizyczne i prawne. Tymczasem, mając na uwadze to, co zostało stwierdzone w pkt 52 niniejszego wyroku, osoby
prawne mogą się powoływać na ochronę art. 7 i 8 karty w odniesieniu do takiej identyfikacji tylko wtedy, gdy nazwa oficjalna
osoby prawnej identyfikuje jedną lub więcej osób fizycznych.
Ma to miejsce właśnie w przypadku skarżącej w postępowaniu przed sądem krajowym w sprawie C‑92/09. Nazwa oficjalna tej spółki
identyfikuje bezpośrednio osoby fizyczne, które są jej wspólnikami.
W drugiej kolejności należy sprawdzić, czy art. 44a rozporządzenia nr 1290/2005 i rozporządzenie nr 259/2008 powodują w odniesieniu
do beneficjentów pomocy z EFRG i EFRROW będących zidentyfikowanymi lub możliwymi do zidentyfikowania osobami fizycznymi (zwanych
dalej „zainteresowanymi beneficjentami”) naruszenie praw przyznanych im w art. 7 i 8 karty i czy w danym przypadku takie naruszenie
jest uzasadnione w świetle art. 52 karty.
i)     W przedmiocie naruszenia praw przyznanych w art. 7 i 8 karty
Artykuł 44a rozporządzenia nr 1290/2005 zobowiązuje państwa członkowskie do zapewnienia corocznej publikacji ex post wykazu
beneficjentów pomocy z EFRG i EFRROW oraz kwot otrzymanych przez każdego beneficjenta w ramach każdego z tych funduszy. Z motywu
14 rozporządzenia nr 1437/2007, zmieniającego rozporządzenie nr 1290/2005, wynika, że informacje te powinny być podane do
„wiadomości ogólnej”.
Rozporządzenie nr 259/2008 określa w art. 1 ust. 1 lit. d) treść publikacji i przewiduje, że oprócz elementów przytoczonych
w poprzednim punkcie i innych informacji dotyczących otrzymanej pomocy publikowane są „gmina, na której terenie beneficjent
ma miejsce zamieszkania lub siedzibę, oraz, o ile to możliwe, kod pocztowy lub jego część pozwalająca na identyfikację gminy”.
Artykuł 2 wspomnianego rozporządzenia przewiduje, że informacje są publikowane na stronie internetowej, po jednej na każde
państwo członkowskie, i mogą być przeglądane z pomocą wyszukiwarki.
Nie jest kwestionowane, że kwoty, które zainteresowani beneficjenci otrzymują z EFRG i EFRROW, stanowią – często znaczną –
część ich przychodów. Publikacja na stronie internetowej imiennych danych dotyczących zainteresowanych beneficjentów i dokładnych
kwot przez nich otrzymanych stanowi z tego względu, że dane te stają się dostępne osobom trzecim, ingerencję w ich życie prywatne
w rozumieniu art. 7 karty (zob. podobnie ww. wyrok w sprawie Österreichischer Rundfunk i in., pkt 73, 74).
W tym względzie nie ma znaczenia, że publikowane dane są związane z działalnością zawodową (zob. ww. wyrok w sprawie Österreichischer
Rundfunk i in., pkt 73, 74). Europejski Trybunał Praw Człowieka orzekł w tym względzie w odniesieniu do wykładni art. 8 EKPC,
że termin „życie prywatne” nie może być interpretowany w sposób zawężający oraz że „nic nie uzasadnia wyłączenia działalności
zawodowej […] z zakresu »życia prywatnego«” (zob. w szczególności ww. wyroki ETPC: w sprawie Amann przeciwko Szwajcarii, § 65;
w sprawie Rotaru przeciwko Rumunii, § 43).
Ponadto publikacja wymagana w art. 44a rozporządzenia nr 1290/2005 i rozporządzeniu nr 259/2008 stanowi przetwarzanie danych
osobowych objęte art. 8 ust. 2 karty.
Kraj związkowy Hesja kwestionuje jednak, by w ogóle miała miejsce ingerencja w życie prywatne skarżących w postępowaniu przed
sądem krajowym, gdyż zostali oni poinformowani w formularzu wniosku o obowiązkowej publikacji dotyczących ich danych i zgodnie
z art. 8 ust. 2 karty dali swoją zgodę na tę publikację poprzez złożenie wniosku.
W tym względzie należy stwierdzić, że art. 42 pkt 8b rozporządzenia nr 1290/2005 przewiduje jedynie „informowanie beneficjentów
funduszy o możliwości podania tych danych [tj. ich nazwiska i kwot otrzymanych z każdego z danych funduszy] do wiadomości
publicznej”. Artykuł 4 ust. 1 rozporządzenia nr 259/2008 zawiera przepis podobny, przewidując, że „[p]aństwa członkowskie
informują beneficjentów o tym, że ich dane będą publikowane”.
Odnośna regulacja unijna, która ogranicza się do ustanowienia, że beneficjenci pomocy będą wcześniej informowani o publikacji
dotyczących ich danych, nie zmierza więc do oparcia wprowadzonego przez nią przetwarzania danych osobowych na zgodzie zainteresowanych
beneficjentów. Poza tym należy stwierdzić, że w sprawach przed sądem krajowym skarżący w formularzach wniosku o dopłaty jedynie
„przyję[li] do wiadomości, że na podstawie art. 44a rozporządzenia nr 1290/2005 informacje o beneficjentach środków z EFRG
i EFRROW […] podlegają publikacji”.
Ze względu na to, że z jednej strony publikacja danych imiennych dotyczących zainteresowanych beneficjentów i dokładnych kwot
pochodzących z EFRG i EFRROW przez nich otrzymanych stanowi względem tych beneficjentów naruszenie praw przyznanych w art. 7
i 8 karty i że z drugiej strony takie przetwarzanie danych osobowych nie opiera się na zgodzie zainteresowanych beneficjentów,
należy zbadać, czy naruszenie to jest uzasadnione w świetle art. 52 ust. 1 karty.
ii)  W przedmiocie uzasadnienia naruszenia praw przyznanych w art. 7 i 8 karty
Należy przypomnieć, że art. 52 ust. 1 karty dopuszcza wprowadzenie ograniczeń w wykonywaniu praw takich jak ustanowione w art. 7
i 8 karty, o ile przewidziane są one ustawą, szanują istotę tych praw i wolności oraz z zastrzeżeniem zasady proporcjonalności
są konieczne i rzeczywiście odpowiadają celom interesu ogólnego uznanym przez Unię lub potrzebom ochrony praw i wolności innych
osób.
Po pierwsze, jest bezsporne, że ingerencję wynikającą z publikacji na stronie internetowej imiennych danych dotyczących zainteresowanych
beneficjentów należy postrzegać jako „przewidzianą ustawą” w rozumieniu art. 52 ust. 1 karty. Artykuł 1 ust. 1 i art. 2 rozporządzenia
nr 259/2008 przewidują bowiem wyraźnie taką publikację.
W drugiej kolejności, jeżeli chodzi o kwestię, czy ingerencja ta odpowiada celowi interesu ogólnego uznawanego przez Unię
w rozumieniu art. 52 ust. 1 karty, z motywu 14 rozporządzenia nr 1437/2007, zmieniającego rozporządzenie nr 1290/2005, i motywu
6 rozporządzenia nr 259/2008 wynika, że publikacja nazwisk beneficjentów pomocy z EFRG i EFRROW i kwot otrzymywanych przez
nich z tych funduszy ma „zwiększ[yć] przejrzystość wykorzystania środków wspólnotowych w ramach [WPR] oraz jakość finansowego
zarządzania wspomnianymi funduszami, w szczególności przez wzmocnienie publicznej kontroli wykorzystanych środków finansowych”.
Należy przypomnieć, że zasada przejrzystości jest ujęta w art. 1 TUE i 10 TUE oraz art. 15 TFUE. Pozwala ona obywatelom na
bliższe uczestnictwo w procesie podejmowania decyzji i gwarantuje, że administracja cieszy się większą prawowitością, jest
bardziej skuteczna i odpowiedzialna względem obywateli w systemie demokratycznym (zob. wyroki: z dnia 6 marca 2003 r. w sprawie
C‑41/00 P Interporc przeciwko Komisji, Rec. s. I‑2125, pkt 39; z dnia 29 czerwca 2010 r. w sprawie C‑28/08 P Komisja przeciwko
Bavarian Lager, Zb.Orz. s. I‑6055, pkt 54).
Wzmacniając publiczną kontrolę wykorzystania kwot wypłaconych z EFRG i EFRROW, publikacja wymagana w przepisach, których ważność
jest kwestionowana, przyczynia się do właściwego wykorzystania funduszy publicznych przez administrację publiczną (zob. podobnie
ww. wyrok w sprawie Österreichischer Rundfunk i in., pkt 81).
Ponadto wspomniana publikacja dotycząca wykorzystania kwot wypłaconych z danych funduszy rolnych pozwala obywatelowi na lepsze
uczestnictwo w debacie publicznej wokół podejmowania decyzji dotyczących ukierunkowania WPR.
Zmierzając do zwiększenia przejrzystości wykorzystania funduszy w ramach WPR, art. 44a rozporządzenia nr 1290/2005 i rozporządzenie
nr 259/2008 realizują zatem cel interesu ogólnego uznawanego przez Unię.
Po trzecie, należy również sprawdzić, czy ograniczenie wprowadzone do praw ustanowionych w art. 7 i 8 karty jest proporcjonalne
do zamierzonego zasadnego celu (zob. m.in. wyrok ETPC z dnia 24 listopada 1986 r. w sprawie Gillow przeciwko Zjednoczonemu
Królestwu, seria A, nr 109, § 55; ww. wyrok w sprawie Österreichischer Rundfunk i in., pkt 83).
W tym kontekście skarżący w postępowaniu przed sądem krajowym wskazują na to, że dane, których publikację przewidziano w art. 44a
rozporządzenia nr 1290/2005 i w rozporządzeniu nr 259/2008, pozwalają osobom trzecim na wyciągnięcie wniosków co do ich przychodów.
Wyjaśniają, że dopłaty te stanowią między 30% a 70% dochodów ogółem zainteresowanych beneficjentów. Zasadnemu interesowi społeczeństwa
zadośćuczyniłaby publikacja anonimowych danych statystycznych.
Z utrwalonego orzecznictwa wynika, że zasada proporcjonalności, która zalicza się do podstawowych zasad prawa wspólnotowego,
wymaga, by środki wprowadzone aktem Unii były odpowiednie do realizacji zamierzonego celu i nie wykraczały poza to, co jest
konieczne do jego osiągnięcia (wyrok z dnia 8 czerwca 2010 r. w sprawie C‑58/08 Vodafone i in., Zb.Orz. s. I‑4999, pkt 51
i przytoczone tam orzecznictwo).
Nie kwestionuje się, że publikacja poprzez Internet danych imiennych dotyczących zainteresowanych beneficjentów i dokładnych
kwot pochodzących z EFRG i EFRROW otrzymanych przez nich może powodować zwiększenie przejrzystości w odniesieniu do wykorzystania
danych dopłat rolnych. Udostępnienie takich informacji obywatelom wzmacnia publiczną kontrolę wykorzystania danych kwot i przyczynia
się do optymalnego wykorzystania funduszy publicznych.
Jeżeli chodzi o konieczność środka, należy przypomnieć, że celu wspomnianej publikacji nie można realizować bez uwzględnienia
faktu, iż należy pogodzić go z prawami podstawowymi ustanowionymi w art. 7 i 8 karty (zob. podobnie wyrok z dnia 16 grudnia
2008 r. w sprawie C‑73/07 Satakunnan Markkinapörssi i Satamedia, Zb.Orz. s. I‑9831, pkt 53).
Należy zatem sprawdzić, czy Rada i Komisja dokonały odpowiedniego wyważenia interesu Unii polegającego na zapewnieniu przejrzystości
jej działań i optymalnego wykorzystania funduszy publicznych, z jednej strony, i naruszanego prawa zainteresowanych beneficjentów
do poszanowania ich życia prywatnego w ogólności i ochrony ich danych osobowych w szczególności, z drugiej strony. W tym względzie
Trybunał orzekł już, że odstępstwa i ograniczenia ochrony danych powinny ograniczać się do tego, co absolutnie konieczne (ww.
wyrok w sprawie Satakunnan Markkinapörssi i Satamedia, pkt 56).
Rządy, które złożyły uwagi na piśmie przed Trybunałem, Rada i Komisja argumentują, że cel realizowany poprzez publikację wymaganą
w art. 44a rozporządzenia nr 1290/2005 i rozporządzeniu nr 259/2008 nie mógł zostać osiągnięty poprzez środki słabiej ingerujące
w prawo zainteresowanych beneficjentów do poszanowania ich życia prywatnego w ogólności i ochrony ich danych osobowych w szczególności.
Informacje ograniczone do zainteresowanych beneficjentów, których dopłaty przekraczają określony próg, nie oferowałyby podatnikowi
wiernego obrazu WPR. Podatnik miałby bowiem wrażenie, że są tylko „wielcy” beneficjenci pomocy z wspomnianych funduszy rolnych,
a przecież jest bardzo wielu „małych” beneficjentów. Ograniczenie publikacji do osób prawnych również nie byłoby satysfakcjonujące.
Komisja podnosi w tym kontekście, że pośród największych beneficjentów dotacji rolnych figurują osoby fizyczne.
Wprawdzie w demokratycznym społeczeństwie podatnicy mają prawo do informacji o wykorzystaniu wydatków publicznych (ww. wyrok
w sprawie Österreichischer Rundfunk i in., pkt 85), niemniej odpowiednie wyważenie różnych podlegających uwzględnieniu interesów
wymagało przed przyjęciem przepisów, których ważność jest kwestionowana, zweryfikowania przez odpowiednie instytucje, czy
publikacja poprzez stronę internetową, jedną na każde państwo członkowskie i swobodnie dostępną, imiennych danych dotyczących
wszystkich zainteresowanych beneficjentów i dokładnych kwot pochodzących z EFRG i EFRROW otrzymanych przez każdego z nich
– bez rozróżnienia w zależności od okresu, częstości lub rodzaju i wysokości otrzymanej pomocy – nie wykraczała poza to, co
było konieczne dla realizacji zasadnie zamierzonych celów, mając na względzie w szczególności powodowane przez taką publikację
naruszenie praw przyznanych w art. 7 i 8 karty.
Jeżeli chodzi o osoby fizyczne będące beneficjentami pomocy z EFRG i EFRROW, nie okazuje się, by Rada i Komisja starały się
dokonać takiego odpowiedniego wyważenia interesu Unii polegającego na zapewnieniu przejrzystości jej działań i optymalnego
wykorzystania funduszy publicznych, z jednej strony, i praw podstawowych ustanowionych w art. 7 i 8 karty, z drugiej strony.
Nic nie wskazuje bowiem na to, by Rada i Komisja, przyjmując art. 44a rozporządzenia nr 1290/2005 i rozporządzenie nr 259/2008,
rozpatrzyły szczegółowe zasady publikacji informacji dotyczących zainteresowanych beneficjentów, które byłyby zgodne z celem
takiej publikacji, a jednocześnie słabiej ingerowały w prawo tych beneficjentów do poszanowania ich życia prywatnego w ogólności
i ochrony ich danych osobowych w szczególności, takie jak ograniczenie publikacji imiennych danych dotyczących tych beneficjentów
w zależności od okresu, w którym otrzymywali pomoc, jej częstości czy też rodzaju i wysokości.
Ograniczonej w ten sposób publikacji imiennej mogłyby ewentualnie towarzyszyć odpowiednie wyjaśnienia dotyczące innych osób
fizycznych będących beneficjentami pomocy ze wspomnianych funduszy i otrzymanych przez nich kwot.
Instytucje powinny były zatem zbadać w ramach odpowiedniego wyważenia różnych interesów podlegających uwzględnieniu, czy ograniczona
publikacja imienna, taka jak wskazano w pkt 81 niniejszego wyroku, nie byłaby wystarczająca dla osiągnięcia celów rozpatrywanej
regulacji unijnej. W szczególności nie okazuje się, by takie ograniczenie, które chroniłoby niektórych z zainteresowanych
beneficjentów przed ingerencją w ich życie prywatne, nie dawało obywatelowi wystarczająco wiernego obrazu pomocy wypłacanej
z EFRG i EFRROW, umożliwiając jednocześnie osiągnięcie celów wspomnianej regulacji.
Państwa członkowskie, które złożyły uwagi na piśmie, oraz Rada i Komisja wskazują ponadto na istotny udział WPR w budżecie
Unii w celu uzasadnienia konieczności publikacji wymaganej w art. 44a rozporządzenia nr 1290/2005 i w rozporządzeniu nr 259/2008.
Argument ten należy oddalić. Należy przypomnieć, że przed udostępnieniem informacji dotyczących osoby fizycznej instytucje
są zobowiązane wyważyć interes Unii w zapewnieniu przejrzystości jej działań i naruszane prawa przyznane art. 7 i 8 karty.
Celowi przejrzystości nie można jednak przyznać automatycznego pierwszeństwa przed prawem do ochrony danych osobowych (zob.
podobnie ww. wyrok w sprawie Komisja przeciwko Bavarian Lager, pkt 75–79), nawet jeżeli w grę wchodzą istotne interesy ekonomiczne.
Z powyższego nie wynika, by instytucje dokonały odpowiedniego wyważenia celów art. 44a rozporządzenia nr 1290/2005 i rozporządzenia
nr 259/2008 i praw przyznanych osobom fizycznym w art. 7 i 8 karty. Z uwagi na to, że ograniczenia ochrony danych osobowych
powinny ograniczać się do tego, co absolutnie konieczne (ww. wyrok w sprawie Satakunnan Markkinapörssi i Satamedia, pkt 56)
i że możliwe są środki, które słabiej ingerują w to prawo podstawowe osób fizycznych, a jednocześnie w skuteczny sposób przyczyniają
się do realizacji celów rozpatrywanego uregulowania, należy stwierdzić, że nakazując publikację nazwisk wszystkich osób fizycznych
będących beneficjentami pomocy z EFRG i EFRROW oraz dokładnych kwot otrzymywanych przez nie, Rada i Komisja przekroczyły granice,
które wyznacza poszanowanie zasady proporcjonalności.
W końcu, jeżeli chodzi o osoby prawne będące beneficjentami pomocy z EFRG i EFRROW, w zakresie, w jakim mogą one powoływać
się na prawa przyznane w art. 7 i 8 karty (zob. pkt 53 niniejszego wyroku), należy uznać, że obowiązek publikacji wynikający
z przepisów, których ważność jest kwestionowana, nie przekracza granic, które wyznacza poszanowanie zasady proporcjonalności.
Waga naruszenia prawa do ochrony danych osobowych jest bowiem inna w przypadku osób prawnych i w przypadku osób fizycznych.
Należy zaznaczyć, że osoby prawne podlegają już szerszemu obowiązkowi publikacji danych ich dotyczących. Poza tym obowiązek
zbadania przez organy krajowe przed publikacją omawianych danych w odniesieniu do każdej osoby prawnej będącej beneficjentem
pomocy z EFRG lub EFRROW, czy jej nazwa wskazuje osoby fizyczne, nakładałby na właściwe organy krajowe nadmierne obciążenie
administracyjne (zob. podobnie wyrok ETPC w sprawie K.U. przeciwko Finlandii z dnia 2 marca 2009 r., skarga nr 2872/02, dotychczas
nieopublikowany, § 48).
W tych warunkach należy uznać, że przepisy, których ważność jest kwestionowana przez sąd krajowy, w zakresie, w jakim odnoszą
się do publikacji danych dotyczących osób prawnych, zachowują właściwą równowagę przy uwzględnieniu występujących w danym
przypadku interesów.
Na podstawie całości powyższych rozważań należy stwierdzić nieważność art. 44a rozporządzenia nr 1290/2005 i rozporządzenia
nr 259/2008 w zakresie, w jakim w odniesieniu do osób fizycznych będących beneficjentami pomocy z EFRG i EFRROW przepisy te
wymagają publikacji danych osobowych dotyczących każdego beneficjenta, bez wprowadzenia rozróżnienia według odpowiednich kryteriów,
takich jak okresy, w których otrzymali tę pomoc, jej częstość czy też rodzaj i wysokość.
c)     W przedmiocie ważności art. 42 pkt 8b rozporządzenia nr 1290/2005
Należy przypomnieć, że art. 42 pkt 8b rozporządzenia nr 1290/2005 uprawnia Komisję do przepisów wykonawczych tylko do art. 44a
tego rozporządzenia.
Ponieważ jednak z podanych wyżej powodów należy stwierdzić nieważność art. 44a rozporządzenia nr 1290/2005, w ten sam sposób
należy stwierdzić nieważność art. 42 pkt 8b tego rozporządzenia.
Na pytanie pierwsze i pierwszą część pytania drugiego należy zatem odpowiedzieć, że art. 42 pkt 8b i art. 44a rozporządzenia
nr 1290/2005 oraz rozporządzenie nr 259/2008 są nieważne w zakresie, w jakim w odniesieniu do osób fizycznych będących beneficjentami
pomocy z EFRG i EFRROW przepisy te wymagają publikacji danych osobowych dotyczących każdego beneficjenta, bez wprowadzenia
rozróżnienia według odpowiednich kryteriów, takich jak okresy, w których otrzymali tę pomoc, jej częstość czy też rodzaj i wysokość.
d)     W przedmiocie skutków w czasie stwierdzonej nieważności
Należy przypomnieć, że jeśli jest to uzasadnione nadrzędnymi względami pewności prawa, Trybunał dysponuje na podstawie art. 264
akapit drugi TFUE, który przez analogię ma zastosowanie również w ramach odesłania prejudycjalnego dotyczącego oceny ważności
aktów Unii na podstawie art. 267 TFUE, uprawnieniem do wskazania w każdym konkretnym przypadku skutków danego aktu, które
powinny być uważane za ostateczne (zob. podobnie wyrok z dnia 22 grudnia 2008 r. w sprawie C‑333/07 Regie Networks, Zb.Orz.
s. I‑10807, pkt 121 i przytoczone tam orzecznictwo).
Biorąc pod uwagę wysoką liczbę publikacji, których dokonano w państwach członkowskich na podstawie uregulowania, które było
uznawane za obowiązujące, należy uznać, że stwierdzona nieważność wyżej wymienionych przepisów wykonawczych nie pozwala na
kwestionowanie skutków publikacji wykazów beneficjentów pomocy z EFRG i EFRROW dokonanej przez organy krajowe na podstawie
tych przepisów w okresie przed dniem wydania niniejszego wyroku.
2.     W przedmiocie pytania trzeciego
Poprzez to pytanie sąd krajowy zmierza zasadniczo do ustalenia, czy art. 18 ust. 2 tiret drugie dyrektywy 95/46 należy interpretować
w ten sposób, że publikacja informacji wynikająca z art. 42 pkt 8b i art. 44a rozporządzenia nr 1290/2005 oraz rozporządzenia
nr 259/2008 może mieć miejsce tylko wtedy, gdy urzędnik do spraw ochrony danych osobowych przed tą publikacją prowadził pełen
rejestr w rozumieniu tego art. 18 ust. 2 tiret drugie.
Należy przypomnieć w tym względzie, że art. 18 ust. 1 dyrektywy 95/46 ustanawia zasadę zawiadamiania organu kontrolnego przed
przeprowadzeniem całościowej lub częściowej operacji automatycznego przetwarzania danych osobowych lub zestawu takich operacji
mających służyć jednemu celowi lub wielu powiązanym ze sobą celom. Jak wyjaśnia motyw 48 dyrektywy 95/46, „[p]rocedury dotyczące
zawiadamiania organu [kontrolnego] są skonstruowane w taki sposób, aby zapewnić ujawnienie celów i głównych cech operacji
przetwarzania danych dla ustalenia, czy operacja taka jest zgodna z krajowymi przepisami przyjętymi na podstawie [tej] dyrektywy”.
Artykuł 18 ust. 2 tiret drugie dyrektywy 95/46 stanowi jednak, że państwa członkowskie mogą wprowadzić uproszczenie procedury
zawiadomienia lub zwolnienie z tego obowiązku między innymi, jeżeli administrator danych powoła urzędnika do spraw ochrony
danych osobowych. Z postanowienia odsyłającego wynika, że w kraju związkowym Hesja dokonano tego w odniesieniu do publikacji
danych wynikającej z art. 42 pkt 8b i art. 44a rozporządzenia nr 1290/2005 i rozporządzenia nr 259/2008.
Zgodnie z art. 18 ust. 2 tiret drugie dyrektywy 95/46 na urzędniku do spraw ochrony danych osobowych spoczywają różne zadania,
które mogą zapewnić, iż operacje przetwarzania nie będą naruszały praw i wolności osób, których dane dotyczą. Urzędnik jest
przykładowo odpowiedzialny za prowadzenie „rejestru operacji przetwarzania danych wykonywanych przez administratora danych
i zawierających informacje określone w art. 21 ust. 2 [dyrektywy 95/46]”. Ten ostatni przepis odsyła do art. 19 ust. 1 lit. a)–e)
tej samej dyrektywy.
Niemniej, wbrew temu, co utrzymuje sąd krajowy, art. 18 ust. 2 tiret drugie dyrektywy 95/46 nie nakłada obowiązku prowadzenia
przez urzędnika do spraw ochrony danych osobowych rejestru zawierającego informacje określone w art. 21 ust. 2 w związku z art. 19
ust. 1 lit. a)–e) dyrektywy 95/46 już przed rozpoczęciem danej operacji przetwarzania danych. Rejestr, o którym mowa w art. 18
ust. 2 tiret drugie dyrektywy 95/46, musi bowiem zawierać jedynie „wykonywane operacje przetwarzania danych”.
W tych warunkach stwierdzony przez sąd krajowy brak pełnego rejestru przed rozpoczęciem operacji przetwarzania danych nie
może naruszać legalności publikacji takiej jak wynikająca z art. 42 pkt 8b i art. 44a rozporządzenia nr 1290/2005 oraz rozporządzenia
nr 259/2008.
Na pytanie trzecie należy zatem odpowiedzieć, że art. 18 ust. 2 tiret drugie dyrektywy 95/46 należy interpretować w ten sposób,
że nie nakłada on na urzędnika do spraw ochrony danych osobowych obowiązku prowadzenia rejestru przewidzianego w tym przepisie
przed rozpoczęciem przetwarzania danych osobowych w rozumieniu art. 42 pkt 8b i art. 44a rozporządzenia nr 1290/2005 oraz
rozporządzenia nr 259/2008.
3.     W przedmiocie pytania czwartego
Tym pytaniem sąd krajowy zmierza zasadniczo do ustalenia, czy art. 20 dyrektywy 95/46 należy interpretować w ten sposób, że
poddaje on publikację informacji wynikającą z art. 42 pkt 8b i art. 44a rozporządzenia nr 1290/2005 oraz rozporządzenia nr 259/2008
kontroli wstępnej przewidzianej w tym art. 20.
Należy zaznaczyć na wstępie, że art. 20 ust. 1 dyrektywy 95/46 stanowi, iż „[p]aństwa członkowskie definiują operacje przetwarzania
danych mogące stwarzać określone zagrożenia dla praw i wolności osób, których dane dotyczą, oraz kontrolują, czy dane te są
badane przed ich rozpoczęciem”.
Wynika z tego, że dyrektywa 95/46 nie poddaje operacji przetwarzania danych osobowych ogólnej kontroli wstępnej. Jak wynika
bowiem z motywu 52 dyrektywy 95/46, prawodawca unijny uznał, że „kontrola ex post przeprowadzana przez właściwe organy musi
z reguły być uznawana za wystarczający środek”.
Jeżeli chodzi o operacje przetwarzania poddane kontroli wstępnej, czyli te, które mogą stwarzać szczególne zagrożenia dla
praw i wolności osób, których dane dotyczą, motyw 53 dyrektywy 95/46 wyjaśnia, że operacje przetwarzania mogą stwarzać takie
zagrożenia „ze względu na ich charakter, ich zakres lub przeznaczenie”. Nawet jeżeli dozwolone jest, by państwa członkowskie
bardziej szczegółowo określiły w swoim ustawodawstwie operacje przetwarzania, które mogą stwarzać szczególne zagrożenia dla
praw i wolności osób, których dane dotyczą, dyrektywa przewiduje, jak wynika z jej motywu 54, że ich liczba powinna być „bardzo
ograniczona”.
Należy zaznaczyć jeszcze, że zgodnie z art. 27 ust. 1 rozporządzenia nr 45/2001 operacje przetwarzania danych mogące stwarzać
określone zagrożenia dla praw i wolności osób, których dane dotyczą, poddane są również kontroli wstępnej, jeżeli są wykonywane
przez instytucje i organy Unii. Artykuł 27 ust. 2 tego rozporządzenia określa operacje przetwarzania, które mogą nieść takie
zagrożenia. Mając na uwadze paralelizm przepisów dyrektywy 95/46 i rozporządzenia nr 45/2001 dotyczących kontroli wstępnej,
zawarty w art. 27 ust. 2 rozporządzenia nr 45/2001 wykaz operacji przetwarzania mogących stwarzać szczególne zagrożenia dla
praw i wolności osób, których dane dotyczą, należy uznać za właściwy dla interpretacji art. 20 dyrektywy 95/46.
Tymczasem nie można stwierdzić, by publikacja wymagana w art. 42 pkt 8b i art. 44a rozporządzenia nr 1290/2005 i rozporządzeniu
nr 259/2008 była objęta jedną z kategorii operacji przetwarzania określonych w art. 27 ust. 2 rozporządzenia nr 45/2001.
W tych warunkach na pytanie czwarte należy odpowiedzieć, że art. 20 dyrektywy 95/46 należy interpretować w ten sposób, iż
nie zobowiązuje on państw członkowskich do tego, by przewidzianej w tym przepisie kontroli wstępnej poddawały publikację informacji
wynikającą z art. 42 pkt 8b i art. 44a rozporządzenia nr 1290/2005 oraz rozporządzenia nr 259/2008.
Mając na uwadze odpowiedź udzieloną na pytanie czwarte, nie ma potrzeby odpowiadania na pytanie piąte.
IV –
W przedmiocie kosztów
Dla stron postępowania przed sądem krajowym niniejsze postępowanie ma charakter incydentalny, dotyczy bowiem kwestii podniesionej
przed tym sądem, do niego zatem należy rozstrzygnięcie o kosztach. Koszty poniesione w związku z przedstawieniem uwag Trybunałowi,
inne niż poniesione przez strony postępowania przed sądem krajowym, nie podlegają zwrotowi.
Z powyższych względów Trybunał (wielka izba) orzeka, co następuje:
1)
Stwierdza się nieważność art. 42 pkt 8b i art. 44a rozporządzenia Rady (WE) nr 1290/2005 z dnia 21 czerwca 2005 r. w sprawie
finansowania wspólnej polityki rolnej, zmienionego rozporządzeniem Rady (WE) nr 1437/2007 z dnia 26 listopada 2007 r., oraz
rozporządzenia Komisji (WE) nr 259/2008 z dnia 18 marca 2008 r. ustanawiającego szczegółowe zasady stosowania rozporządzenia
Rady (WE) nr 1290/2005 w zakresie publikowania informacji na temat beneficjentów środków pochodzących z Europejskiego Funduszu
Rolniczego Gwarancji (EFRG) i Europejskiego Funduszu Rolnego na rzecz Rozwoju Obszarów Wiejskich (EFRROW) w zakresie, w jakim
w odniesieniu do osób fizycznych będących beneficjentami pomocy z EFRG i EFRROW przepisy te wymagają publikacji danych osobowych
dotyczących każdego beneficjenta, bez wprowadzenia rozróżnienia według odpowiednich kryteriów, takich jak okresy, w których
otrzymali tę pomoc, jej częstość czy też rodzaj i wysokość.
2)
Nieważność przepisów prawa Unii wspomnianych w pkt 1 sentencji nie pozwala na kwestionowanie skutków publikacji wykazów beneficjentów
pomocy z EFRG i EFRROW dokonanej przez organy krajowe na podstawie tych przepisów w okresie przed dniem wydania niniejszego
wyroku.
3)
Artykuł 18 ust. 2 tiret drugie dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie
ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych należy interpretować
w ten sposób, że nie nakłada on na urzędnika do spraw ochrony danych osobowych obowiązku prowadzenia rejestru przewidzianego
w tym przepisie przed rozpoczęciem przetwarzania danych osobowych w rozumieniu art. 42 pkt 8b i art. 44a rozporządzenia nr 1290/2005,
zmienionego rozporządzeniem nr 1437/2007, oraz rozporządzenia nr 259/2008.
4)
Artykuł 20 dyrektywy 95/46 należy interpretować w ten sposób, iż nie zobowiązuje on państw członkowskich do tego, by poddawały
przewidzianej w tym przepisie kontroli wstępnej publikację informacji wynikającą z art. 42 pkt 8b i art. 44a rozporządzenia
nr 1290/2005, zmienionego rozporządzeniem nr 1437/2007, oraz rozporządzenia nr 259/2008.
Podpisy
*
Język postępowania: niemiecki.