CELEX: 62010CJ0468
Przetwarzanie danych osobowych
Dyrektywa 95/46/WE
Artykuł 7 lit. f)
Bezpośrednia skuteczność

Wnioski o wydanie orzeczenia w trybie prejudycjalnym dotyczą wykładni art. 7 lit. f) dyrektywy 95/46/WE Parlamentu Europejskiego
i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego
przepływu tych danych (Dz.U. L 281, s. 31).
Wnioski te zostały złożone w ramach sporów między Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF) (krajowym
stowarzyszeniem instytucji finansowo‑kredytowych, zwanym dalej „ASNEF”) oraz Federación de Comercio Electrónico y Marketing
Directo (FECEMD) (federacją handlu elektronicznego i marketingu bezpośredniego, zwaną dalej „FECEMD”) a Administración del
Estado (administracją państwową).

Ramy prawne

Prawo Unii
Dyrektywa 95/46
Motywy 7, 8 i 10 dyrektywy 95/46 mają następujące brzmienie:
„(7)      Różnica w stopniu ochrony praw i wolności jednostek, szczególnie prawa do prywatności, w odniesieniu do przetwarzania danych
osobowych, zapewnionego w poszczególnych państwach członkowskich może uniemożliwiać przesyłanie tych danych z terytorium jednego
państwa członkowskiego do drugiego państwa członkowskiego; różnica ta może zatem stanowić przeszkodę w realizacji szeregu
przedsięwzięć ekonomicznych na poziomie wspólnotowym, zakłócać konkurencję i utrudniać władzom wykonywanie ich obowiązków
wynikających z przepisów prawa wspólnotowego; wspomniana różnica w stopniu ochrony jest wynikiem istnienia wielkiej różnorodności
krajowych przepisów ustawowych, wykonawczych i administracyjnych.
(8)      W celu zniesienia przeszkód w przepływie danych osobowych stopień ochrony praw i wolności jednostek w zakresie przetwarzania
tych danych musi być jednakowy we wszystkich państwach członkowskich; cel ten ma żywotne znaczenie dla rynku wewnętrznego,
lecz nie może on być osiągnięty przez same państwa członkowskie, szczególnie mając na uwadze skalę rozbieżności, jakie obecnie
występują między odpowiednimi ustawodawstwami krajowymi, oraz potrzebę dokonania koordynacji ustawodawstw państw członkowskich
w celu zapewnienia jednolitej regulacji transgranicznego przepływu danych osobowych, zgodnie z celem rynku wewnętrznego przewidzianego
w art. 7a traktatu; konieczne są wspólnotowe działania na rzecz zbliżenia ustawodawstw.
[...]
(10)      Celem krajowych przepisów prawa dotyczących przetwarzania danych osobowych jest ochrona podstawowych praw i wolności, szczególnie
prawa do prywatności, które zostało uznane zarówno w art. 8 europejskiej Konwencji o ochronie praw człowieka i podstawowych
wolności [, podpisanej w Rzymie w dniu 4 listopada 1950 r. (zwanej dalej »EKPC«), ] oraz w zasadach ogólnych prawa wspólnotowego;
z tego powodu zbliżanie przepisów prawa nie powinno wpłynąć na zmniejszenie ochrony, jaką gwarantują, lecz przeciwnie, musi
dążyć do zapewnienia jak najwyższego stopnia ochrony we Wspólnocie”.
Artykuł 1 omawianej dyrektywy, zatytułowany „Cel dyrektywy”, ma następujące brzmienie:
„1.      Zgodnie z przepisami niniejszej dyrektywy, państwa członkowskie zobowiązują się chronić podstawowe prawa i wolności osób fizycznych,
w szczególności ich prawo do prywatności w odniesieniu do przetwarzania danych osobowych.
2.      Państwa członkowskie nie będą ograniczać ani zakazywać swobodnego przepływu danych osobowych między państwami członkowskimi
ze względów związanych z ochroną przewidzianą w ust. 1”.
Artykuł 5 tej dyrektywy ma następujące brzmienie:
„Państwa członkowskie określą, w granicach przepisów zawartych w niniejszym rozdziale, bardziej szczegółowe warunki ustalania
legalności przetwarzania danych osobowych”.
Artykuł 7 dyrektywy 95/46 stanowi:
„Państwa członkowskie zapewniają, że dane osobowe mogą być przetwarzane tylko wówczas, gdy:
a)      osoba, której dane dotyczą, jednoznacznie wyraziła na to zgodę; lub
[...]
f)      przetwarzanie danych jest konieczne dla [realizacji] potrzeb wynikających z uzasadnionych interesów administratora danych
lub osoby trzeciej, lub osobom [lub osób trzecich], którym dane są ujawniane, z wyjątkiem sytuacji, kiedy interesy takie podporządkowane
są interesom związanym z podstawowymi prawami i wolnościami osoby, której dane dotyczą, które gwarantują ochronę na podstawie
art. 1 ust. 1 [z wyjątkiem sytuacji, kiedy pierwszeństwo mają interesy lub podstawowe prawa i wolności osoby, której dane
dotyczą, wymagające ochrony zgodnie z art. 1 ust. 1]”.
Artykuł 13 ust. 1 rzeczonej dyrektywy stanowi:
„Państwo członkowskie może przyjąć środki ustawodawcze w celu ograniczenia zakresu praw i obowiązków, przewidzianego w art. 6
ust. 1, art. 10, art. 11 ust. 1, art. 12 oraz 21, kiedy ograniczenie takie stanowi środek konieczny dla zabezpieczenia:
a)      bezpieczeństwa narodowego;
b)      obronności;
c)      bezpieczeństwa publicznego;
d)      działań prewencyjnych, prowadzonych czynności dochodzeniowo‑śledczych i prokuratorskich w sprawach karnych lub sprawach o naruszenie
zasad etyki w zawodach podlegających regulacji;
e)      ważnego interesu ekonomicznego lub finansowego państwa członkowskiego lub Unii Europejskiej, łącznie z kwestiami pieniężnymi,
budżetowymi i podatkowymi;
f)      funkcji kontrolnych, inspekcyjnych i regulacyjnych związanych, nawet sporadycznie, z wykonywaniem władzy publicznej w przypadkach
wymienionych w lit. c)–e);
g)      ochrony osoby, której dane dotyczą, oraz praw i wolności innych osób”.

Prawo krajowe
Ley Orgánica 15/1999
Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (ustawa organiczna 15/1999 o ochronie
danych osobowych) (BOE nr 298 z dnia 14 grudnia 1999 r., s. 43088) dokonuje transpozycji dyrektywy 95/46 do prawa hiszpańskiego.
Artykuł 3 lit. j) ustawy organicznej 15/1999 wymienia „powszechnie dostępne źródła” w zamkniętym i wyczerpującym wykazie,
o następującym brzmieniu:
„[...] zasoby, do których wgląd mają wszyscy bez ograniczeń lub wymogów innych niż, w odpowiednim przypadku, uiszczenie opłaty.
Charakter powszechnie dostępnych źródeł mają wyłącznie spisy wyborców, książki telefoniczne na zasadach przewidzianych w przepisach
szczególnych oraz listy osób należących do grup zawodowych, które zawierają wyłącznie dane dotyczące nazwiska, tytułu, zawodu,
działalności, stopnia akademickiego, adresu oraz wskazanie na ich przynależność do grupy. Podobnie charakter powszechnie dostępnych
źródeł mają dzienniki i biuletyny urzędowe oraz media”.
Artykuł 6 ust. 1 ustawy organicznej 15/1999 wymaga dla przetwarzania danych wyraźnej zgody osoby zainteresowanej, chyba że
ustawa stanowi inaczej. I tak, art. 6 ust. 2 in fine tej ustawy przewiduje, że zgoda nie jest konieczna, między innymi „kiedy
dane zawarte są w powszechnie dostępnych źródłach i ich przetwarzanie jest konieczne dla realizacji potrzeb wynikających z uzasadnionych
interesów administratora danych lub osoby trzeciej, której dane są ujawniane, o ile nie zostają naruszone podstawowe prawa
i wolności osoby, której dane dotyczą”.
Artykuł 11 ust. 1 ustawy organicznej 15/1999 przypomina o konieczności uzyskania zgody na ujawnienie osobom trzecim danych
o charakterze osobowym, jednakże ust. 2 tego artykułu stanowi, że zgoda ta nie jest konieczna, między innymi kiedy chodzi
o dane zawarte w powszechnie dostępnych źródłach.
Real Decreto 1720/2007
Rząd hiszpański wykonał ustawę organiczną 15/1999 w drodze Real Decreto 1720/2007 (dekretu królewskiego 1720/2007) (BOE nr 17
z dnia 19 stycznia 2008 r., s. 4103).
Artykuł 10 ust. 1 dekretu królewskiego 1720/2007 dopuszcza przetwarzanie i przekazywanie danych osobowych po uzyskaniu uprzedniej
zgody osoby, której dane dotyczą.
Niemniej art. 10 ust. 2 dekretu królewskiego 1720/2007 stanowi:
„[...] dopuszczalne jest przetwarzanie i przekazywanie danych o charakterze osobowym bez konieczności uzyskania zgody osoby,
której dane dotyczą, jeżeli:
a)      pozwala na to przepis rangi ustawowej lub przepis prawa wspólnotowego, a w szczególności, jeżeli zachodzi jeden z następujących
wypadków:
–        przetwarzanie lub przekazywanie danych służy realizacji potrzeb wynikających z uzasadnionych interesów administratora danych
lub osoby, której dane są przekazywane, chronionej na podstawie tych przepisów, z wyjątkiem sytuacji, kiedy pierwszeństwo
mają interesy lub podstawowe prawa i wolności osób, których dane dotyczą, o których mowa w art. 1 ustawy organicznej 15/1999
z dnia 13 grudnia;
–        przetwarzanie lub przekazywanie danych jest konieczne do wypełnienia przez administratora danych obowiązku nałożonego na niego
na podstawie jednego z tych przepisów;
b)      przetwarzane lub przekazywane dane zawarte są w powszechnie dostępnych źródłach i administrator danych lub osoba trzecia,
której ujawniane są dane, mają uzasadniony interes w ich przetwarzaniu lub przekazaniu, o ile nie narusza to podstawowych
praw i wolności osoby, której dane dotyczą.
Niemniej jednak organy administracji publicznej mogą ujawnić, na podstawie niniejszego ustępu, administratorom prywatnych
zasobów danych dane zawarte w powszechnie dostępnych źródłach tylko wtedy, gdy są do tego upoważnione na podstawie przepisu
rangi ustawowej”.

Postępowania przed sądem krajowymi i pytania prejudycjalne
ASNEF oraz FECEMD zaskarżyły przed sądem administracyjnym szereg artykułów dekretu królewskiego 1720/2007.
Do zaskarżonych przepisów należą art. 10 ust. 2 lit. a) tiret pierwsze oraz art. 10 ust. 2 lit. b) akapit pierwszy wspomnianego
dekretu, którym ASNEF i FECEMD zarzucają niezgodność z art. 7 lit. f) dyrektywy 95/46.
W szczególności, ASNEF i FECEMD twierdzą, że prawo hiszpańskie dodaje do uzasadnionego interesu będącego przesłanką przetwarzania
danych bez zgody osoby, której dane te dotyczą, przesłankę, która nie została ustanowiona w dyrektywie 95/46, zgodnie z którą
dane te muszą być zawarte w powszechnie dostępnych źródłach.
Tribunal Supremo jest zdania, że zasadność powództw wniesionych odpowiednio przez ASNEF i FECEMD zależy w znacznej mierze
od wykładni, jaką Trybunał nada art. 7 lit. f) dyrektywy 95/46. Tribunal Supremo precyzuje w tym względzie, że jeżeli Trybunał
uzna, iż państwa członkowskie nie mogą ustanawiać dodatkowych przesłanek względem przewidzianych we wspomnianym artykule dyrektywy
i że przepisowi temu można przypisać bezpośrednią skuteczność, należy odstąpić od stosowania art. 10 ust. 2 lit. b) dekretu
królewskiego 1720/2007.
Tribunal Supremo wyjaśnia, że w braku zgody osoby, której dane dotyczą, celem dopuszczenia przetwarzania jej danych osobowych
niezbędnego dla realizacji potrzeb wynikających z uzasadnionych interesów administratora danych lub osoby trzeciej lub osób
trzecich, którym dane są ujawniane, prawo hiszpańskie wymaga, poza poszanowaniem podstawowych praw i wolności osoby, której
dane dotyczą, by dane te były zawarte w zasobach wymienionych w art. 3 lit. j) ustawy organicznej 15/1999. Sąd ten wyraża
pogląd, że wspomniana ustawa i dekret królewski 1720/2007 zawężają zakres art. 7 lit. f) dyrektywy 95/46.
Zdaniem Tribunal Supremo zawężenie to stanowi przeszkodę dla swobodnego przepływu danych osobowych, która jest zgodna z dyrektywą
95/46 tylko w zakresie, w jakim wymaga tego interes lub podstawowe prawa i wolności osoby, której dane te dotyczą. Sąd ten
wywodzi z powyższego, że jedyną możliwością, aby uniknąć sprzeczności między omawianą dyrektywą a prawem hiszpańskim, byłoby
przyjęcie, że swobodny przepływ danych osobowych zawartych w zasobach innych niż wymienione w art. 3 lit. j) ustawy organicznej
15/1999 narusza interes lub podstawowe prawa i wolności osoby, której dane dotyczą.
Tribunal Supremo żywi jednak wątpliwości co do zgodności takiej wykładni z wolą prawodawcy Unii.
W tych okolicznościach, uznawszy, że rozwiązanie obu zawisłych przed nim spraw zależy od wykładni przepisów prawa Unii, Tribunal
Supremo postanowił zawiesić postępowanie i skierować do Trybunału następujące pytania prejudycjalne, sformułowane identycznie
w obu wspomnianych sprawach:
„1)      Czy art. 7 lit. f) dyrektywy 95/46 […] należy interpretować w ten sposób, iż stoi on na przeszkodzie przepisom krajowym, które
w braku zgody osoby, której dotyczą dane, i celem dopuszczenia przetwarzania jej danych osobowych niezbędnego dla realizacji
potrzeb wynikających z uzasadnionych interesów administratora danych lub osób trzecich, którym dane są ujawniane, wymagają,
poza poszanowaniem podstawowych praw i wolności osoby, której dane dotyczą, by dane te były zawarte w powszechnie dostępnych
źródłach?
2)      Czy [wspomniany] art. 7 lit. f) […] spełnia przesłanki wymagane przez orzecznictwo Trybunału Sprawiedliwości Unii Europejskiej
dla przyznania mu bezpośredniej skuteczności?”.
Postanowieniem prezesa Trybunału z dnia 26 października 2010 r. sprawy C‑468/10 i C‑469/10 zostały połączone do celów procedury
pisemnej i ustnej oraz w celu wydania wyroku.

W przedmiocie pytań prejudycjalnych

W przedmiocie pytania pierwszego
Za pomocą pytania pierwszego sąd odsyłający zmierza w istocie do ustalenia, czy art. 7 lit. f) dyrektywy 95/46 należy interpretować
w ten sposób, iż stoi on na przeszkodzie przepisom krajowym, które w braku zgody osoby, której dotyczą dane, i celem dopuszczenia
przetwarzania jej danych osobowych niezbędnego dla realizacji potrzeb wynikających z uzasadnionych interesów administratora
danych lub osoby trzeciej lub osób trzecich, którym dane są ujawniane, wymagają, poza poszanowaniem podstawowych praw i wolności
tej osoby, by dane te były zawarte w powszechnie dostępnych źródłach.
Artykuł 1 dyrektywy 95/46 zobowiązuje państwa członkowskie do zapewnienia ochrony podstawowych praw i wolności osób fizycznych,
a w szczególności ich prawa do prywatności w zakresie przetwarzania danych osobowych (zob. podobnie wyrok z dnia 16 grudnia
2008 r. w sprawie C‑524/06 Huber, Zb.Orz. s. I‑9705, pkt 47).
Zgodnie z przepisami rozdziału II dyrektywy 95/46, zatytułowanego „Ogólne zasady legalności przetwarzania danych osobowych”,
z zastrzeżeniem dozwolonych na mocy jej art. 13 odstępstw, każda operacja przetwarzania danych osobowych musi być zgodna z jednej
strony z wyrażonymi w art. 6 tej dyrektywy zasadami odnoszącymi się do charakteru danych, a z drugiej strony – z jednym z sześciu kryteriów
legalności przetwarzania danych, wymienionych w art. 7 tej dyrektywy (zob. podobnie wyrok z dnia 20 maja 2003 r. w sprawach
połączonych C‑465/00, C‑138/01 i C‑139/01 Österreichischer Rundfunk i in., Rec. s. I‑4989, pkt 65; a także ww. wyrok w sprawie
Huber, pkt 48).
Z motywu 7 dyrektywy 95/46 wynika, że różnice między krajowymi reżimami przetwarzania danych osobowych mogą poważnie zakłócić
tworzenie i funkcjonowanie rynku wewnętrznego (zob. wyrok z dnia 6 listopada 2003 r. w sprawie C‑101/01 Lindqvist, Rec. s. I‑12971,
pkt 79).
W tym kontekście konieczne wydaje się przypomnienie, że dyrektywa 95/46 ma na celu, jak to wynika w szczególności z jej motywu 8,
zapewnienie równoważności stopnia ochrony praw i wolności jednostek w zakresie przetwarzania danych osobowych we wszystkich
państwach członkowskich. W motywie 10 tej dyrektywy dodano, że zbliżanie ustawodawstw krajowych w omawianej dziedzinie nie
powinno wpłynąć na zmniejszenie ochrony, jaką gwarantują, lecz przeciwnie – musi służyć zapewnieniu jak najwyższego stopnia
ochrony w Unii (zob. podobnie ww. wyroki: w sprawie Lindqvist, pkt 95; w sprawie Huber, pkt 50).
Zgodnie z orzecznictwem harmonizacja wspomnianych ustawodawstw krajowych nie ogranicza się do minimalnego jej zakresu, lecz
prowadzi do harmonizacji, która jest co do zasady pełna. W takich właśnie ramach dyrektywa 95/46 ma zapewnić swobodny przepływ
danych osobowych, gwarantując równocześnie wysoki poziom ochrony praw i interesów osób, których dane te dotyczą (zob. ww.
wyrok w sprawie Lindqvist, pkt 96).
W konsekwencji, z celu polegającego na zapewnieniu równoważnego poziomu ochrony we wszystkich państwach członkowskich wynika,
że art. 7 dyrektywy 95/46 przewiduje zamknięty i wyczerpujący wykaz przypadków, w których przetwarzanie danych osobowych może
zostać uznane za legalne.
Wykładnia ta znajduje potwierdzenie w sformułowaniu „mogą być przetwarzane tylko wówczas, gdy” oraz spójniku „lub” zawartych
w art. 7 dyrektywy 95/46, które wskazują na zamknięty i wyczerpujący charakter wykazu umieszczonego w tym artykule.
Z powyższego należy wyprowadzić wniosek, że państwa członkowskie nie mogą dodawać nowych kryteriów legalności przetwarzania
danych osobowych względem kryteriów ustanowionych w art. 7 dyrektywy 95/46, ani też ustanawiać dodatkowych wymogów, które
doprowadziłyby do modyfikacji zakresu jednego z sześciu kryteriów przewidzianych we wspomnianym artykule.
Artykuł 5 dyrektywy 95/46 nie podważa przedstawionej wykładni. Upoważnia on bowiem państwa członkowskie jedynie do określenia,
w granicach przepisów zawartych w rozdziale II tej dyrektywy, a co za tym idzie i jej art. 7, bardziej szczegółowych warunków
ustalania legalności przetwarzania danych osobowych.
Zakres swobodnego uznania, jakim na mocy przywołanego art. 5 dysponują państwa członkowskie, może zatem być wykorzystywany
wyłącznie zgodnie z celem realizowanym przez dyrektywę 95/46, polegającym na utrzymaniu równowagi między swobodnym przepływem
danych osobowych a ochroną życia prywatnego (zob. ww. wyrok w sprawie Lindqvist, pkt 97).
Dyrektywa 95/46 zawiera przepisy charakteryzujące się pewną elastycznością i w szeregu przypadków pozostawia państwom członkowskim
zadanie ustalenia szczegółów lub dokonania wyboru między istniejącymi opcjami (zob. ww. wyrok w sprawie Lindqvist, pkt 83).
Należy zatem dokonać rozróżnienia pomiędzy przepisami krajowymi, które przewidują dodatkowe wymogi zmieniające zakres kryterium,
o którym mowa w art. 7 dyrektywy 95/46, z jednej strony, a przepisami krajowymi, które dokonują zwykłego doprecyzowania jednego
z tych kryteriów, z drugiej strony. Pierwszy rodzaj przepisów krajowych jest niedozwolony. Tylko w ramach drugiego rodzaju
przepisów krajowych państwa członkowskie dysponują, na mocy art. 5 dyrektywy 95/46, zakresem swobodnego uznania.
Co za tym idzie, na mocy art. 5 dyrektywy 95/46 państwa członkowskie nie mogą również wprowadzać innych kryteriów legalności
przetwarzania danych osobowych niż kryteria ustanowione w art. 7 tej dyrektywy, ani też modyfikować, za pomocą dodatkowych
wymogów, zakresu sześciu kryteriów przewidzianych we wspomnianym artykule.
Artykuł 7 lit. f) dyrektywy 95/46 stanowi, że przetwarzanie danych osobowych jest legalne, jeżeli „konieczne dla [realizacji]
potrzeb wynikających z uzasadnionych interesów administratora danych lub osoby trzeciej, lub osobom [lub osób trzecich], którym
dane są ujawniane, z wyjątkiem sytuacji, kiedy interesy takie podporządkowane są interesom związanym z podstawowymi prawami
i wolnościami osoby, której dane dotyczą, które gwarantują ochronę na podstawie art. 1 ust. 1 [z wyjątkiem sytuacji, kiedy
pierwszeństwo mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony zgodnie z art. 1
ust. 1]”.
Przytoczony art. 7 lit. f) zawiera dwie kumulatywne przesłanki legalności przetwarzania danych osobowych, a mianowicie, po
pierwsze, wymóg, by przetwarzanie było konieczne dla realizacji potrzeb wynikających z uzasadnionych interesów administratora
danych lub osoby trzeciej lub osób trzecich, którym dane są ujawniane, a po drugie, wymóg, by pierwszeństwa nie znajdowały
podstawowe prawa i wolności osoby, której dane dotyczą.
Wynika z tego, że jeśli chodzi o przetwarzanie danych osobowych, art. 7 lit. f) dyrektywy 95/46 stoi na przeszkodzie przepisom
krajowym, które w braku zgody osoby, której dotyczą dane, nakładają, poza dwoma kumulatywnymi przesłankami wymienionymi w poprzednim
punkcie, dodatkowe wymogi.
Niemniej należy mieć na uwadze okoliczność, że druga z tych przesłanek wymaga wyważenia przeciwstawnych w sprawie praw i interesów,
które zależy co do zasady od konkretnych okoliczności indywidualnego przypadku i w ramach którego osoba lub instytucja dokonująca
wyważenia musi brać pod uwagę doniosłość praw osoby, której dane dotyczą, wynikających z art. 7 i 8 Karty praw podstawowych
Unii Europejskiej (zwanej dalej „kartą”).
W tym względzie należy zauważyć, że art. 8 ust. 1 karty stanowi, że „[k]ażda ma prawo do ochrony danych osobowych, które go
dotyczą”. To prawo podstawowe jest ściśle związane z prawem do poszanowania życia prywatnego ustanowionym w art. 7 karty (wyrok
z dnia 9 listopada 2010 r. w sprawach połączonych C‑92/09 i C‑93/09 Volker und Markus Schecke i Eifert, Zb.Orz. s. I‑11063,
pkt 47).
Zgodnie z orzecznictwem Trybunału poszanowanie życia prywatnego w kontekście przetwarzania danych osobowych, uznane w art. 7
i 8 karty, odnosi się do wszelkich informacji dotyczących zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej
(zob. ww. wyrok w sprawach połączonych Volker und Markus Schecke i Eifert, pkt 52). Niemniej z art. 8 ust. 2 i art. 52 ust. 1
karty wynika, że pod pewnymi warunkami prawo to może podlegać ograniczeniom.
Ponadto przy transpozycji dyrektywy 95/46 na państwach członkowskich ciąży obowiązek oparcia się na takiej wykładni tej dyrektywy,
która pozwoli im na zapewnienie odpowiedniej równowagi między poszczególnymi podstawowymi prawami i wolnościami chronionymi
przez porządek prawny Unii (zob. analogicznie wyrok z dnia 29 stycznia 2008 r. w sprawie C‑275/06 Promusicae, Zb.Orz. s. I‑271,
pkt 68).
Co się tyczy ważenia niezbędnego na mocy art. 7 lit. f) dyrektywy 95/46, możliwe jest uwzględnienie faktu, że powaga naruszenia
praw podstawowych osoby, której przetwarzanie dotyczy, może różnić się w zależności od tego, czy sporne dane figurują już
w powszechnie dostępnych źródłach.
W odróżnieniu bowiem od przetwarzania danych zawartych w powszechnie dostępnych źródłach, przetwarzanie danych zawartych w źródłach,
które nie są dostępne publicznie, oznacza jednoznacznie, że informacje o życiu prywatnym osoby, której dane dotyczą, będą
odtąd znane administratorowi danych, oraz, w stosownym przypadku, osobie trzeciej lub osobom trzecim, którym dane są ujawniane.
Temu naruszeniu o większej wadze praw osoby, której dane dotyczą, wyrażonych w art. 7 i 8 karty, należy nadać odpowiednie
znaczenie, kładąc je na szali z potrzebą wynikającą z uzasadnionego interesu realizowaną przez administratora danych lub osobę
trzecią lub osoby trzecie, którym dane są ujawniane.
Należy podkreślić w tym względzie, że nic nie stoi na przeszkodzie temu, by do celów korzystania z przysługującego im na mocy
art. 5 dyrektywy 95/46 zakresu swobodnego uznania państwa członkowskie ustanowiły zasady stanowiące wytyczne dla przeprowadzenia
takiego ważenia.
Nie chodzi tu jednakże już o doprecyzowanie w rozumieniu wspomnianego art. 5, jeżeli przepisy krajowe wykluczają w odniesieniu
do określonych kategorii danych osobowych możliwość ich przetwarzania, określając w stosunku do nich w sposób ostateczny rezultat
ważenia przeciwstawnych praw i interesów, tym samym nie dopuszczając do innego rezultatu będącego wynikiem szczególnych okoliczności
konkretnego przypadku.
A zatem, bez uszczerbku dla art. 8 dyrektywy 95/46 dotyczącego przetwarzania danych należących do szczególnych kategorii –
przepisu niebędącego przedmiotem sporu przed sądem odsyłającym – art. 7 lit. f) tej dyrektywy stoi na przeszkodzie temu, by
państwo członkowskie wykluczyło w sposób kategoryczny i ogólny w odniesieniu do określonych kategorii danych osobowych możliwość
ich przetwarzania, nie dopuszczając do ważenia przeciwstawnych praw i interesów występujących w indywidualnym przypadku.
Mając na względzie całość powyższych rozważań, na pytanie pierwsze należy odpowiedzieć, że art. 7 lit. f) dyrektywy 95/46
należy interpretować w ten sposób, iż stoi on na przeszkodzie przepisom krajowym, które w braku zgody osoby, której dotyczą
dane, i celem dopuszczenia przetwarzania jej danych osobowych niezbędnego dla realizacji potrzeb wynikających z uzasadnionych
interesów administratora danych lub osoby trzeciej lub osób trzecich, którym dane są ujawniane, wymagają, poza poszanowaniem
podstawowych praw i wolności tej osoby, by dane te były zawarte w powszechnie dostępnych źródłach, wykluczając tym samym w sposób
kategoryczny i ogólny wszelką możliwość przetwarzania danych niezawartych w takich źródłach.

W przedmiocie pytania drugiego
Za pomocą pytania drugiego sąd odsyłający zmierza w istocie do ustalenia, czy art. 7 lit. f) dyrektywy 95/46 jest bezpośrednio
skuteczny.
W tym względzie należy przypomnieć, że zgodnie z utrwalonym orzecznictwem Trybunału w każdym przypadku, gdy przepisy dyrektywy
okazują się, ze względu na swoją treść, bezwarunkowe i wystarczająco precyzyjne, jednostki mają prawo powoływać się na nie
przed sądami krajowymi wobec państwa, zarówno gdy państwo nie dokonało w terminie transpozycji dyrektywy do prawa krajowego,
jak i gdy dokonana transpozycja jest nieprawidłowa (zob. wyrok z dnia 3 marca 2011 r. w sprawie C‑203/10 Auto Nikolovi, Zb.Orz.
s. I‑1083, pkt 61 i przytoczone tam orzecznictwo).
Należy stwierdzić, że art. 7 lit. f) dyrektywy 95/46 jest przepisem dostatecznie precyzyjnym, by jednostka mogła się na niego
powoływać i by mógł być on stosowany przez sądy krajowe. Ponadto, o ile dyrektywa 95/46 bezsprzecznie przyznaje państwom członkowskim
mniej lub bardziej szeroki zakres uznania dotyczący wdrażania niektórych jej przepisów, o tyle art. 7 lit. f) jako taki przewiduje
obowiązek bezwarunkowy (zob. analogicznie ww. wyrok w sprawie Österreichischer Rundfunk i in., pkt 100).
Użycie wyrażenia „z wyjątkiem [sytuacji]” w samym brzmieniu art. 7 lit. f) dyrektywy 95/46 samo w sobie nie podważa bezwarunkowego
charakteru tego przepisu, w rozumieniu przytoczonego orzecznictwa.
Wspomniane wyrażenie ma bowiem na celu ustanowienie jednej z dwóch kumulatywnych przesłanek przewidzianych w art. 7 lit. f)
dyrektywy 95/46, od których spełnienia uzależniona jest dopuszczalność przetwarzania danych osobowych bez zgody osoby, której
dane dotyczą. Jako że przesłanka ta została zdefiniowana, nie pozbawia ona art. 7 lit. f) jego precyzyjnego i bezwarunkowego
charakteru.
Na pytanie drugie należy więc odpowiedzieć, że art. 7 lit. f) dyrektywy 95/46 jest bezpośrednio skuteczny.

W przedmiocie kosztów
Dla stron postępowania przed sądem krajowym niniejsze postępowanie ma charakter incydentalny, dotyczy bowiem kwestii podniesionej
przed tym sądem, do niego zatem należy rozstrzygnięcie o kosztach. Koszty poniesione w związku z przedstawieniem uwag Trybunałowi,
inne niż poniesione przez strony postępowania przed sądem krajowym, nie podlegają zwrotowi.
Z powyższych względów Trybunał (trzecia izba) orzeka, co następuje:
1)
Artykuł 7 lit. f) dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób
fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych należy interpretować w ten sposób,
iż stoi on na przeszkodzie przepisom krajowym, które w braku zgody osoby, której dotyczą dane, i celem dopuszczenia przetwarzania
jej danych osobowych niezbędnego dla realizacji potrzeb wynikających z uzasadnionych interesów administratora danych lub osoby
trzeciej lub osób trzecich, którym dane są ujawniane, wymagają, poza poszanowaniem podstawowych praw i wolności tej osoby,
by dane te były zawarte w powszechnie dostępnych źródłach, wykluczając tym samym w sposób kategoryczny i ogólny wszelką możliwość
przetwarzania danych niezawartych w takich źródłach.
2)
Artykuł 7 lit. f) dyrektywy 95/46 jest bezpośrednio skuteczny.
Podpisy
*
Język postępowania: hiszpański.