OPINIA RZECZNIKA GENERALNEGO

NIILA JÄÄSKINENA

przedstawiona w dniu 10 lipca 2014 r. ( 1 )

Sprawa C‑212/13

František Ryneš

przeciwko

Úřad pro ochranu osobních údajů

[wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Nejvyšší správní soud (Republika Czeska)]

„Zbliżanie ustawodawstw — Przetwarzanie danych osobowych — Dyrektywa 95/46 — Zakres stosowania — Odstępstwa — Artykuł 3 ust. 2 — Pojęcie „dokonywania czynności o czysto osobistym lub domowym charakterze” — Rejestracja przez kamerę monitoringu wejścia do domu osoby wykorzystującej system rejestracji, przestrzeni publicznej oraz wjazdu do domu sąsiedniego”

I – Wprowadzenie

1. Dyrektywa 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych oraz swobodnego przepływu tych danych ( 2 ) reguluje tę dziedzinę w szerokim zakresie. Niemniej jednak dyrektywy tej, zgodnie z jej art. 3 ust. 2 tiret drugie, nie stosuje się w odniesieniu do przetwarzania danych osobowych „przez osobę fizyczną w trakcie czynności o czysto osobistym lub domowym charakterze” ( 3 ).

2. Nejvyšší správní soud (najwyższy sąd administracyjny Republiki Czeskiej) zwraca się do Trybunału w przedmiocie wykładni tego wyjątku w ramach sporu między F. Rynešem a Úřad pro ochranu osobních údajů (urzędem ds. ochrony danych osobowych, zwanym dalej „urzędem”) w związku z decyzją, mocą której urząd stwierdził, że F. Ryneš popełnił kilka wykroczeń w dziedzinie ochrony danych osobowych poprzez zainstalowanie na gzymsach swojego domu kamery monitoringu, która filmowała nie tylko jego dom, lecz także drogę publiczną i dom położony naprzeciwko.

3. O ile się nie mylę, Trybunał nie rozpoznawał dotychczas sprawy, w której miałby stwierdzić spełnienie przesłanek zastosowania art. 3 ust. 2 tiret drugie dyrektywy 95/46, choć kwestia jego stosowania była poruszana w szczególności w wyroku Lindqvist ( 4 ). Mając na uwadze stanowisko będące podwaliną orzecznictwa Trybunału, a zwłaszcza ostatnich wyroków Digital Rights Ireland i Seitlinger i in. ( 5 ) oraz Google Spain i Google ( 6 ), które powołują się na prawo podstawowe ochrony danych osobowych, zaproponuję w niniejszej opinii, by przyjąć, że rzeczony wyjątek nie obejmuje sytuacji takiej jak przedstawiona w niniejszej sprawie i że tym samym dyrektywa 95/46 podlega zastosowaniu.

4. Należy podkreślić, że kwestia, czy działania dokonane przez F. Ryneša „w celu ochrony mienia, zdrowia i życia właścicieli domu” podlegają pod zakres dyrektywy 95/46, nie ma zupełnie wpływu na możliwość wykonywania takiego nadzoru/monitoringu. Jedynym celem niniejszej sprawy jest sprecyzowanie podlegających zastosowaniu ram prawnych w tym względzie.

II – Ramy prawne

A – Prawo Unii

5. Artykuł 7 Karty praw podstawowych Unii Europejskiej (zwanej dalej „kartą”) stanowi, że „[k]ażdy ma prawo do poszanowania życia prywatnego i rodzinnego, domu i komunikowania się”.

6. Zgodnie z art. 8 ust. 1 karty „[k]ażdy ma prawo do ochrony danych osobowych, które go dotyczą”. Ustępy 2 i 3 tego artykułu dodatkowo precyzują: „2. Dane te muszą być przetwarzane rzetelnie w określonych celach i za zgodą osoby zainteresowanej lub na innej uzasadnionej podstawie przewidzianej ustawą. Każdy ma prawo dostępu do zebranych danych, które go dotyczą, i prawo do dokonania ich sprostowania. 3. Przestrzeganie tych zasad podlega kontroli niezależnego organu” ( 7 ).

7. Motywy 12 i 16 dyrektywy 95/46 mają następujące brzmienie: „(12) […] należy wyłączyć przetwarzanie danych dokonywane przez osobę fizyczną w wykonywaniu działań o charakterze wyłącznie osobistym lub domowym, jak np. korespondencja i przechowywanie spisów adresów. (16) Przetwarzanie danych dźwiękowych i obrazowych, np. w przypadku nadzoru kamer wideo, nie wchodzi w zakres stosowania niniejszej dyrektywy, jeśli dokonywane jest dla potrzeb bezpieczeństwa publicznego, obronności, bezpieczeństwa narodowego lub też w trakcie działań państwowych w dziedzinie prawa karnego lub innych działań niewchodzących w zakres prawa wspólnotowego”.

8. Artykuł 3 dyrektywy, zatytułowany „Zakres obowiązywania”, przewiduje: „1. Niniejsza dyrektywa stosuje się do przetwarzania danych osobowych w całości lub w części w sposób zautomatyzowany oraz innego przetwarzania danych osobowych, stanowiących część zbioru danych lub mających stanowić część zbioru danych. 2. Niniejsza dyrektywa nie ma zastosowania do przetwarzania danych osobowych: — w ramach działalności wykraczającej poza zakres prawa Wspólnoty, jak np. dane, o których stanowi tytuł V i VI Traktatu o Unii Europejskiej, a w żadnym razie do działalności na rzecz bezpieczeństwa publicznego, obronności, bezpieczeństwa państwa (łącznie z dobrą kondycją gospodarczą państwa, gdy działalność ta dotyczy spraw związanych z bezpieczeństwem państwa) oraz działalności państwa w obszarach prawa karnego, — przez osobę fizyczną w trakcie czynności o czysto osobistym lub domowym charakterze”.

B – Przepisy czeskie

9. Artykuł 3 ust. 3 ustawy nr 101/2000 Sb. w sprawie ochrony danych osobowych i zmianie niektórych ustaw (zwanej dalej „ustawą nr 101/2000”) stanowi: „Niniejsza ustawa nie obejmuje przetwarzania danych osobowych dokonywanego przez osobę fizyczną wyłącznie na użytek osobisty”.

10. Zgodnie z art. 5 ust. 2 lit. e) tej ustawy przetwarzanie danych osobowych jest co do zasady możliwe jedynie za zgodą osoby, której te dane dotyczą. W braku takiej zgody rzeczone przetwarzanie może mieć miejsce, jeżeli okaże się ono konieczne w celu ochrony podlegających ochronie na mocy ustawy praw i interesów podmiotu odpowiedzialnego za przetwarzanie, adresata lub każdej innej osoby, której dane te dotyczą. Przetwarzanie to nie może jednak naruszać prawa danej osoby do poszanowania jej życia prywatnego i rodzinnego.

11. Artykuł 44 ust. 2 tej ustawy reguluje odpowiedzialność podmiotu odpowiedzialnego za przetwarzanie danych osobowych, który dopuszcza się wykroczenia przy okazji przetwarzania danych osobowych bez zgody osoby, której dane te dotyczą, w wypadku gdy dostarcza danej osobie właściwych informacji i gdy nie spełnia obowiązku zawiadomienia odpowiedniego organu.

III – Postępowanie główne, pytanie prejudycjalne i postępowanie przed Trybunałem

12. W okresie od 5 października 2007 r. do 11 kwietnia 2008 r. F. Ryneš korzystał z pojedynczej kamery zamontowanej na dachu domu. Kamera ustawiona była w stałej pozycji, bez możliwości jej obracania, i nagrywała wejście do domu skarżącego, drogę publiczną oraz wejście do domu położonego naprzeciwko. System umożliwiał jedynie rejestrację obrazu, który przechowywany był na sprzęcie nagrywającym w formie nieprzerwanej pętli, czyli na twardym dysku. Po zapełnieniu się pamięci na dysku istniejące nagranie było niszczone przez nowe zarejestrowanie. Sprzęt nagrywający nie posiadał monitora, tak że nie było możliwości natychmiastowego przeglądu nagrania. Tylko F. Ryneš miał bezpośredni dostęp do systemu i zapisanych danych.

13. Sąd odsyłający zauważa, że jedynym powodem korzystania z tej kamery przez F. Ryneša była ochrona majątku, zdrowia i życia jego oraz jego rodziny. Zarówno bowiem on, jak i jego rodzina byli przez wiele lat celem ataków ze strony nieznanych sprawców, którzy nie mogli zostać zidentyfikowani. Ponadto w okresie 2005–2007 wielokrotnie wybijano okna domu należącego do jego żony.

14. W nocy z dnia 6 na 7 października 2007 r. doszło do kolejnego ataku, podczas którego wybito szybę w domu F. Ryneša poprzez strzał z procy. Dzięki przedmiotowemu systemowi kamer możliwe było ustalenie tożsamości dwóch podejrzanych. Nagrania zostały złożone na policji i następnie przedstawione jako dowód w ramach postępowania karnego.

15. Jeden z podejrzanych zażądał kontroli systemu kamer F. Ryneša i urząd decyzją z dnia 4 sierpnia 2008 r. stwierdził, że F. Ryneš dopuścił się naruszenia ustawy nr 101/2000 z uwagi na fakt, że: — jako administrator danych osobowych pozyskiwał poprzez system kamer dane osobowe bez zgody osób poruszających się po ulicy przed domem lub wchodzących do domu po drugiej stronie ulicy, — nie poinformował tych osób o przetwarzaniu tych danych osobowych, o zakresie i celu tego przetwarzania, o osobie dokonującej przetwarzania oraz o sposobie dokonania przetworzenia, ani o osobach, które mogły mieć dostęp do tych danych, — jako administrator danych osobowych F. Ryneš nie spełnił obowiązku zawiadomienia urzędu w odniesieniu do omawianego przetwarzania.

16. František Ryneš wystąpił ze skargą na tę decyzję do Městský soud w Pradze, który oddalił ją wyrokiem z dnia 25 kwietnia 2012 r. Od tego wyroku F. Ryneš wniósł skargę kasacyjną do sądu odsyłającego.

17. W tych okolicznościach Nejvyšší správní soud orzeczeniem z dnia 20 marca 2013 r. postanowił zawiesić postępowanie i zwrócić się do Trybunału z następującym pytaniem prejudycjalnym: „Czy działanie systemu kamer zainstalowanych na domu rodzinnym w celu ochrony własności, zdrowia i życia właścicieli domu może zostać zaklasyfikowane jako przetwarzanie danych osobowych przez »osobę fizyczną w trakcie czynności o czysto osobistym lub domowym charakterze« w rozumieniu art. 3 ust. 2 dyrektywy 95/46 […], pomimo że system taki monitoruje również przestrzeń publiczną?”,

18. Uwagi na piśmie zostały złożone przez F. Ryneša, przez urząd, przez rządy czeski, hiszpański, włoski, austriacki, polski i portugalski, przez rząd Zjednoczonego Królestwa oraz przez Komisję. W rozprawie w dniu 20 marca 2014 r. uczestniczyli urząd, rządy czeski, austriacki, polski i Zjednoczonego Królestwa oraz Komisja.

IV – Analiza

A – Uwagi wstępne

1. W przedmiocie ram sprawy

19. Należy zauważyć, po pierwsze, że pytanie prejudycjalne w niniejszej sprawie jest precyzyjne i skoncentrowane na wykładni wyrażenia „w trakcie czynności o czysto osobistym lub domowym charakterze”, od której zależy stosowanie dyrektywy 95/46 w odniesieniu do systemu nadzoru kamer wideo wykorzystanego przez F. Ryneša. Odpowiedź na to pytanie w sprawie wykładni nie może być uzależniona od faktu, że system nadzoru kamer wideo doprowadził do zamierzonego celu, czyli identyfikacji sprawców czynu zabronionego. Odpowiedź powinna być taka sama w wypadku, gdyby system nadzoru kamer wideo pozostał bezowocny i doprowadził jedynie do rejestracji – w końcu skasowanej, a więc niewykorzystanej – osób znajdujących się w przestrzeni publicznej przed domem F. Ryneša.

20. Po drugie, sprawa dotyczy zasadniczo kwalifikacji analizowanego systemu nadzoru kamer wideo dla celów stosowania dyrektywy 95/46. W konsekwencji późniejsze wykorzystanie zarejestrowanego obrazu nie powinno moim zdaniem być decydujące dla rozstrzygnięcia kwestii samego zastosowania tej dyrektywy ( 8 ). Kwalifikacja prawna systemu nadzoru kamer wideo przez F. Ryneša nie może różnić się w zależności do tego, czy obrazy zostały następnie wykasowane czy zachowane.

21. Po trzecie, sprawa znajdująca się u podstaw odesłania prejudycjalnego różni się od sytuacji, gdy system nadzoru kamer wideo jest wykorzystywany przez organy publiczne lub przez osoby prawne. Jeśli chodzi o ograny publiczne, dyrektywa 95/46 podlega zastosowaniu z wyjątkiem sytuacji, o których mowa w art. 3 ust. 2 tiret pierwsze tej dyrektywy. Odnośnie do osób prawnych dyrektywa 95/46 podlega zastosowaniu bez ograniczeń. Z tego względu wydaje mi się, że orzecznictwo Europejskiego Trybunału Praw Człowieka, które jest bardzo bogate w tej dziedzinie, nie daje wskazówek podlegających bezpośredniemu zastosowaniu w niniejszej sprawie ( 9 ).

22. Wreszcie w niniejszej sprawie wydaje się jasne, że karta, w szczególności jej art. 7 i 8, podlega zastosowaniu. Analizowany przypadek może stać się źródłem konfliktu między prawami podstawowymi administratora danych (w jęz. angielskim „data controller”) a prawami osoby, której te dane dotyczą (w jęz. angielskim „data subject”). W niniejszym przypadku chodzi o konflikt między F. Rynešem a zidentyfikowanymi sprawcami czynu zabronionego. Tymczasem w kontekście ogólnego stosowania dyrektywy 95/46 chodzi o konflikt między prawem do ochrony życia prywatnego każdej osoby fizycznej korzystającej z systemu nadzoru kamer wideo przestrzeni publicznej a prawem ochrony danych osobowych każdej znajdującej się tam osoby, której dane te dotyczą.

23. Jeżeli Trybunał uzna, że dyrektywa 95/46 podlega zastosowaniu w niniejszej sprawie, to zaistnieje konieczność wyważenia między różnymi prawami i interesami w ramach przepisów materialnych dyrektywy 95/46, a w szczególności jej art. 7 lit. f) ( 10 ). Pragnę uściślić, że w danym wypadku dokonanie tego należałoby do sądu odsyłającego, co jednak wykracza poza ramy określone w niniejszym wniosku prejudycjalnym ( 11 ).

2. W przedmiocie wniosków wynikających z orzecznictwa dotyczącego ochrony danych osobowych

24. Celem dyrektywy 95/46 jest zagwarantowanie wysokiego poziomu ochrony podstawowych praw i wolności osób fizycznych, w szczególności ich prawa do prywatności, w odniesieniu do przetwarzania danych osobowych ( 12 ).

25. Trybunał, dokonując wykładni prawa Unii, inspiruje się kartą. Orzecznictwo przypisało również dyrektywę 95/46 do zasad ogólnych prawa, a tym samym do art. 8 europejskiej Konwencji o ochronie praw człowieka i podstawowych wolności, podpisanej w Rzymie w dniu 4 listopada 1950 r. (zwanej dalej „EKPC”) ( 13 ). Orzekł on także, że dyrektywa 95/46 stanowi określony przez prawodawcę punkt równowagi między różnymi istniejącymi prawami podstawowymi ( 14 ).

26. W wyroku Google Spain i Google ( 15 ) Trybunał podkreślił w taki sposób wagę bezpośredniego skutku dyrektywy 95/46 i stanowiącej cel tego aktu skutecznej oraz pełnej ochrony wolności i praw podstawowych osób fizycznych ( 16 ), w szczególności prawa do poszanowania życia prywatnego, w odniesieniu do przetwarzania danych osobowych, do którego dyrektywa ta przykłada szczególną wagę, jak potwierdzają to zwłaszcza art. 1 ust. 1 i motywy 2 i 10 tego aktu ( 17 ).

27. W tym względzie Trybunał już orzekł, że przepisy dyrektywy 95/46, w zakresie, w jakim regulują przetwarzanie danych osobowych mogących naruszyć podstawowe wolności, a w szczególności prawo do życia prywatnego, koniecznie muszą być interpretowane w świetle praw podstawowych, które – zgodnie z utrwalonym orzecznictwem – stanowią integralną część ogólnych zasad prawa, których poszanowanie zapewnia Trybunał i które odtąd stanowią część karty ( 18 ).

28. Ściślej rzecz ujmując, w wyroku Google Spain i Google Trybunał wskazał, co następuje: „Artykuł 7 karty gwarantuje […] prawo do poszanowania życia prywatnego, natomiast jej art. 8 wyraźnie ustanawia prawo do ochrony danych osobowych. W art. 8 ust. 2 i 3 wyjaśnione zostało, że dane te muszą być przetwarzane rzetelnie, w określonych celach i za zgodą osoby zainteresowanej lub na innej uzasadnionej podstawie przewidzianej ustawą, a każdy ma prawo do dostępu do zebranych danych, które go dotyczą, i prawo do dokonania ich sprostowania; przestrzeganie tych zasad podlega zaś kontroli niezależnego organu. Wymogi te są wprowadzane w życie szczególnie poprzez art. 6, 7, 12, 14 i 28 dyrektywy 95/46” ( 19 ).

29. Uważam, że te ostatnie przepisy – z wyjątkiem art. 28 – podlegają zastosowaniu także do związków horyzontalnych między administratorami danych, którzy nie stanowią władzy publicznej, a osobami, których dane te dotyczą.

3. W przedmiocie systemu nadzoru kamer wideo w świetle celów dyrektywy 95/46

a) W przedmiocie systemu nadzoru kamer wideo

30. System nadzoru kamer wideo charakteryzuje się stałym i systematycznym funkcjonowaniem, niezależnie od okresu – zmiennego – ewentualnego przechowywania zapisu obrazu ( 20 ). Podkreślam, że niniejsze pytanie prejudycjalne dotyczy systemu stałego nadzoru kamer, który rozciąga się na przestrzeń publiczną oraz na drzwi domu położonego naprzeciwko i pozwala w ten sposób zidentyfikować nieokreśloną liczbę osób znajdujących się tam bez uprzedniego ostrzeżenia o tym monitoringu. Natomiast kwestie prawne związane z zarejestrowaniem dokonanym za pomocą telefonów komórkowych, kamer przenośnych oraz aparatów cyfrowych mają inny charakter, tak że celem niniejszej opinii nie jest ich analiza.

31. Fakt, że system monitoringu kamer wideo z rejestracją podlega pod zakres dyrektywy 95/46 – ponieważ sam w sobie stanowi automatyczne przetwarzanie (co ma miejsce w wypadku rejestracji cyfrowej) lub pociąga za sobą takie przetwarzanie – wynika bezpośrednio z motywu 16 tego aktu.

32. W tym względzie zauważam, że sąd odsyłający stawia sobie pytanie odnośnie do wykładni art. 3 ust. 2 tiret drugie dyrektywy 95/46. Twierdzę zatem, że sąd ten uważa w sposób dorozumiany – choć nieuchronnie – że analizowane przetwarzanie w postępowaniu głównym spełnia kryteria określone w art. 3 ust. 1 tej dyrektywy ( 21 ).

33. Sąd odsyłający nie dostarcza szczegółowego opisu treści analizowanych zapisów wideo. Tymczasem można pomyśleć, że zgodnie z orzecznictwem Trybunału zapisy tego typu „[jako] całokształt […] [mogą] dostarczyć bardzo precyzyjnych wskazówek dotyczących życia prywatnego osób, których dane są zatrzymywane, takich jak ich codzienne nawyki, miejsca stałego lub czasowego pobytu, codziennie lub okazyjnie pokonywane trasy, podejmowane czynności, relacje społeczne i środowiska społeczne, w których osoby te się obracają” ( 22 ).

34. Ponadto „zatrzymywanie danych w celu ich ewentualnego udostępnienia właściwym organom krajowym” – jak to miało miejsce w postępowaniu – „pozostaje w bezpośrednim i szczególnym związku z prawem do poszanowania życia prywatnego, a tym samym – z prawami, które zostały zagwarantowane w art. 7 karty. Takie zatrzymywanie danych jest objęte również zakresem zastosowania art. 8 karty, gdyż stanowi przetwarzanie danych osobowych w rozumieniu tego artykułu i jako takie musi spełniać wynikające z niego wymogi w zakresie ochrony danych” ( 23 ).

b) W przedmiocie celów dyrektywy 95/46

35. Trybunał wskazał, że w szczególności z motywów 3, 7 i 8 dyrektywy 95/46 wynika, iż harmonizując normy krajowe chroniące osoby fizyczne w zakresie przetwarzania danych osobowych, dyrektywa ta ma zasadniczo na celu zagwarantowanie swobodnego przepływu takich danych między państwami członkowskimi, co jest konieczne w celu stworzenia i funkcjonowania rynku wewnętrznego w rozumieniu art. 14 ust. 2 WE ( 24 ).

36. Zgodnie ze swoim tytułem dyrektywa 95/46 realizuje również inny cel, czyli „ochronę osób fizycznych w zakresie przetwarzania danych osobowych”. Dyrektywa tworzy w ten sposób ramy, w których zapewniona jest ochrona osób fizycznych w zakresie przetwarzania danych osobowych.

37. Ponadto prawdą jest, że swobodny przepływ danych osobowych może stanowić naruszenie prawa do życia prywatnego, takiego jak w szczególności przyznane w art. 8 EKPC ( 25 ) oraz w zasadach ogólnych prawa Unii ( 26 ).

38. Z tego powodu, oraz jak to w szczególności wynika z motywu 10 i z art. 1 dyrektywy 95/46, dyrektywa ta nie ma również na celu osłabienia ochrony, jaką zapewniają istniejące normy krajowe, lecz wręcz przeciwnie – zagwarantowanie w Unii wysokiego poziomu ochrony wolności i praw podstawowych w zakresie przetwarzania danych osobowych ( 27 ).

39. Jest jasne, że odnośnie do prawa do poszanowania życia prywatnego „zgodnie z utrwalonym orzecznictwem Trybunału ochrona tego prawa podstawowego w każdym wypadku wymaga, aby odstępstwa od ochrony danych osobowych i jej ograniczenia ograniczały się do tego, co absolutnie konieczne” ( 28 ), i że w tym względzie „ochrona danych osobowych mająca swoje źródło w wyraźnie przewidzianym w art. 8 ust. 1 karty obowiązku jest szczególnie istotna z punktu widzenia prawa do poszanowania życia prywatnego ustanowionego w jej art. 7” ( 29 ).

B – W przedmiocie przewidzianego w art. 3 ust. 2 tiret drugie wyłączenia z zakresu stosowania dyrektywy 95/46

40. W postępowaniu głównym podniesiona jest kwestia, czy działalność F. Ryneša jest wyłączona z zakresu zastosowania dyrektywy 95/46 na podstawie zastosowania wyjątku przewidzianego w art. 3 ust. 2 tiret drugie dyrektywy 95/46 w zakresie przetwarzania „przez osobę fizyczną w trakcie czynności o czysto osobistym lub domowym charakterze”. Rzeczony przepis nie dotyczy celu przetwarzania danych osobowych zgodnie z opisem w pytaniu prejudycjalnym, czyli ochrony „własności, zdrowia i życia właścicieli domu”.

41. Pragnę uściślić, że postępowanie główne nie dotyczy ani bezpieczeństwa państwa, ani działań państwa w zakresie dziedziny prawa karnego, które to działania mogłyby podpadać pod wyjątek z art. 3 ust. 2 tiret pierwsze dyrektywy 95/46, choćby nawet dane zebrane w niniejszej sprawie zostały w końcu przekazane organom państwowym ( 30 ). František Ryneš działał bowiem jako osoba prywatna będąca ofiarą wykroczenia karnego, a nie jako funkcjonariusz służb porządkowych.

42. František Ryneš oraz rządy czeski, włoski, polski i Zjednoczonego Królestwa są zdania, że wykorzystywanie systemu nadzoru kamer wideo, takie jak w niniejszej sprawie, które służy ochronie majątku, zdrowia i życia właścicieli domu, odbywa się wyłącznie w trakcie czynności o czysto osobistym lub domowym charakterze w rozumieniu art. 3 ust. 2 tiret drugie dyrektywy 95/46, choćby nawet system ten miał obejmować monitoring przestrzeni publicznej. Natomiast urząd, rządy austriacki, portugalski i hiszpański oraz Komisja uważają, że w przypadku takim jak w niniejszej sprawie, gdzie analizowany system monitoruje również przestrzeń publiczną, powyższy wyjątek nie podlega zastosowaniu.

a) Uwzględnienie celu przetwarzania jako kryterium stosowania dyrektywy 95/46

43. Na rozprawie podniesiono w szerokim zakresie kwestię, czy zastosowanie wyjątku mogło zależeć od zamiaru osoby, której dotyczy sprawa. Ściślej rzecz ujmując, chodzi o to, czy charakter „czysto osobisty […] lub domowy[…]” przetwarzania danych jest możliwy do wykazania w świetle celów realizowanych przez administratora danych.

44. Według sądu odsyłającego F. Ryneš prowadził monitoring „w celu ochrony własności, zdrowia i życia właścicieli”. Moim zdaniem nie jest wykluczone, że działania określone przez subiektywny cel tego rodzaju mogą spełniać przesłanki z art. 7 lit. f) dyrektywy 95/46, co czyniłoby przetwarzanie danych osobowych zgodnym z prawem w ramach tego aktu. Nie takie jednak pytanie zostało skierowane do Trybunału. Niniejsze pytanie prejudycjalne dotyczy zakresu zastosowania dyrektywy 95/46, który nieuchronnie poprzedza jakiekolwiek pytanie dotyczące wykładni przepisów materialnych tego aktu.

45. W tych okolicznościach należy ustalić, czy dokonywane przez F. Ryneša przetwarzanie danych osobowych wymyka się spod zakresu zastosowania dyrektywy, zważywszy na jego subiektywny cel, w zakresie, w jakim ten subiektywny cel mógł być uznany za stanowiący o charakterze wyłącznie osobistym lub domowym analizowanego przetwarzania danych.

46. Przypominam w tym względzie, że funkcja przepisu art. 3 ust. 2 tiret drugie dyrektywy 95/46 polega na zdefiniowaniu zakresu stosowania rzeczonej dyrektywy poprzez wyłącznie pewnych sytuacji lub działalności, które mimo spełnienia określonych w tej dyrektywie kryteriów pozostają jednak wykluczone z jej zakresu stosowania. Według mnie zakres stosowania aktu prawa Unii nie może zależeć od subiektywnego celu osoby zainteresowanej, w tym wypadku administratora danych, ponieważ taki cel nie jest ani możliwy do obiektywnego zweryfikowania na podstawie kryteriów zewnętrznych, ani istotny w stosunku do danych osób, których praw i interesów dotyczą analizowane działania.

47. Cel przetwarzania danych osobowych nie może być bowiem decydujący w odniesieniu do poruszającego się po drodze publicznej pieszego, który został zarejestrowany przez system nadzoru kamer wideo, z punktu widzenia jego potrzeby ochrony przez szczegółowe przepisy ustawowe określające jego pozycję prawną w porównaniu z administratorem danych osobowych. Natomiast cel przetwarzania może mieć znaczenie przy ocenie legalności tego przetwarzania. Zakres stosowania dyrektywy należy zatem określić za pomocą kryteriów obiektywnych.

b) Czynność o czysto osobistym lub domowym charakterze

48. W celu zilustrowania treści analizowanego wyjątku dyrektywa 95/46 powołuje dwa przykłady: korespondencję i przechowywanie spisów adresów ( 31 ). Jako wyjątek podlega on oczywiście interpretacji ścisłej, co potwierdza orzecznictwo dotyczące dyrektywy 95/46 ( 32 ).

49. Precyzyjne zakreślenie granic tego wyjątku przyczynia się do zapobiegnięcia nieuregulowanemu gromadzeniu danych osobowych, które może się dokonać poza ramami prawa Unii i w konsekwencji być zwolnione z wymogów wynikających z art. 8 ust. 2 i 3 karty ( 33 ).

50. Sprawa Lindqvist, tak jak niniejszy przypadek, dotyczyła przetwarzania danych osobowych dokonanego przez osobę fizyczną. Rzecznik generalny A. Tizzano był zdania, że kategoria „czynności o czysto osobistym lub domowym charakterze” obejmowała jedynie czynności takie jak „korespondencj[a] i przechowywanie spisów adresów” […], czyli czynności o charakterze oczywiście prywatnym i niejawnym, przeznaczone do tego, aby nie wyszły poza sferę osobistą lub domową osób zainteresowanych”, i że w tamtej sprawie wyjątek przewidziany w tiret drugim nie podlegał zastosowaniu ( 34 ).

51. W mojej opinii „czynności o charakterze osobistym” na podstawie art. 3 ust. 2 tiret drugie dyrektywy 95/46 stanowią czynności ściśle i obiektywnie związane z życiem prywatnym osoby, które nie naruszają w sposób dotkliwy sfery osobistej innych. Czynności te mogą jednak mieć miejsce poza domem. „Czynności o charakterze domowym” są związane z życiem rodzinnym i normalnie mają miejsce w ramach gospodarstwa domowego lub w innych miejscach dzielonych z członkami rodziny, takich jak drugie miejsce zamieszkania, hotel pokojowy lub samochód prywatny. Wszystkie one mają związek z ochroną życia prywatnego, o której mowa w art. 7 karty.

52. Uważam w istocie – tak jak rząd Zjednoczonego Królestwa – że wyjątek ten pozwala w obecnych ramach prawnych, czyli w ramach stworzonych przez dyrektywę 95/46, na zagwarantowanie ochrony przewidzianej w art. 7 karty na korzyść podmiotu, który poddany jest procesowi przetwarzania danych osobowych w swoim życiu prywatnym i rodzinnym.

53. Niemiej jednak – w ramach dyrektywy 95/46 – żeby wyjątek ten mógł wchodzić w grę, nie wystarczy, aby zamierzone czynności przedstawiały związek z czynnościami o charakterze osobistym lub domowym, lecz wymagane jest ponadto, aby związek ten miał charakter wyłączny. Dodam w tym względzie, że moim zdaniem nie istnieje żadna wątpliwość, jeśli chodzi o fakt, że przesłankę wyłącznego charakteru stosuje się zarówno do czynności o charakterze osobistym, jak i do czynności domowych.

54. Stwierdzam, że system nadzoru kamer wideo innych podmiotów, czyli systematyczny monitoring miejsca za pośrednictwem urządzenia wytwarzającego sygnał wideo rejestrowany w celu identyfikacji osób – nawet wewnątrz domu – nie może zostać uznany za posiadający wyłącznie charakter osobisty, lecz nie wyklucza to jednak, że mógłby on wchodzić w zakres pojęcia czynności o charakterze domowym.

55. Prawdą jest natomiast – jak twierdzi rząd Zjednoczonego Królestwa – że ochrona nienaruszalności domu prywatnego i jego ochrona przed kradzieżą oraz przed każdą bezprawną ingerencją stanowią czynności, które nie mają charakteru zasadniczego dla każdego gospodarstwa domowego, i z tego powodu mogą być uznane za czynności o charakterze domowym.

56. Niemniej jednak moim zdaniem systemu nadzoru kamer wideo, który rozciąga się na przestrzeń publiczną, nie można rozważać w kategoriach czynności o czysto domowym charakterze, ponieważ rozciąga się on na osoby niemające jakiegokolwiek związku z daną rodziną i zamierzające zachować swoją anonimowość. Jak stwierdził Trybunał, „okoliczność, że zatrzymywanie i późniejsze wykorzystywanie danych jest dokonywane bez poinformowania o tym” osób zainteresowanych w niniejszej sprawie, „może […] wywołać u osób, których danych są zatrzymywane czy też wykorzystywane, poczucie, iż ich życie prywatne podlega stałemu nadzorowi” ( 35 ).

57. Zatem system stałego nadzoru kamer wideo przestrzeni publicznej wykorzystywany przez osoby fizyczne nie jest zwolniony z wtórnych wymogów ochrony danych osobowych stosowanych względem systemu nadzoru kamer wideo wykorzystywanego przez osoby prawne i organy publiczne. Wykładnia ta pozwala aktualnie uniknąć uprzywilejowania osób wykorzystujących system nadzoru kamer wideo przestrzeni publicznej usytuowanej przed domem jednorodzinnym w porównaniu do nadzoru, który byłby zainstalowany dookoła innych budynków będących przedmiotem współwłasności, ponieważ wszyscy administratorzy danych osobowych, osoby fizyczne lub osoby prawne podlegają tym samym wymogom ( 36 ).

58. Wnioskuję zatem, że przetwarzanie danych osobowych takie jak to dokonane przez F. Ryneša nie wchodzi w zakres pojęcia „[wykonywania] czynności o czysto osobistym lub domowym charakterze” i tym samym rzeczone przetwarzanie, które nie korzysta z analizowanego wyjątku, jest objęte zakresem zastosowania dyrektywy 95/46.

c) Uwagi uzupełniające

59. Aby moja analiza była wyczerpująca, pragnę sprecyzować, że nawet jeśli – w orzecznictwie – „publikowanie” danych osobowych jest często wymieniane wśród czynników przyjętych do celów wniosku co do niestosowania wyjątku przewidzianego w art. 3 ust. 2 tiret drugie dyrektywy 95/46 ( 37 ), to brak publikowania nie czyni a contrario, że wyjątek ten będzie podlegał zastosowaniu. Rejestracja i przechowywanie danych osobowych stanowią same w sobie ingerencję w prawa gwarantowane przez art. 7 karty ( 38 ).

60. Ponadto pragnę zauważyć, że dane osobowe zarejestrowane przez F. Ryneša były przedmiotem przekazania organom państwa w ramach postępowania karnego. W tym względzie należy przypomnieć, że zgodnie z orzecznictwem Trybunału „dostęp do tych danych przez właściwe organy krajowe stanowi dodatkową ingerencję w to prawo podstawowe” ( 39 ).

61. Jeśli Trybunał przyjmie – jak mu proponuję – że dyrektywa 95/46 podlega zastosowaniu, to działania dokonywane przez F. Ryneša należy poddać analizie w ramach tej dyrektywy, która ma na celu stworzenie i zagwarantowanie równowagi między prawami podstawowymi a interesem osób.

62. W tym wypadku należałoby zwłaszcza sprawdzić „zasadność” danego przetwarzania danych ( 40 ). W tej kwestii należy przypomnieć, że z zastrzeżeniem odstępstw przyjętych na podstawie art. 13 dyrektywy 95/46, w szczególności w celu „ochrony danej osoby lub praw i wolności innych”, każde przetwarzanie danych osobowych musi z jednej strony być zgodne z zasadami dotyczącymi jakości danych, o których mowa w art. 6 tej dyrektywy, a z drugiej strony odpowiadać jednej z zasad dotyczących zasadności przetwarzania danych wymienionych w art. 7 tej dyrektywy ( 41 ).

63. Jeśli chodzi o zasadność przetwarzania takiego jak to, o którym mowa w postępowaniu głównym, uważam że może ono korzystać z uzasadnienia, o którym mowa w art. 7 lit. f) dyrektywy 95/46.

64. Aby bowiem przetwarzanie danych osobowych było zgodne z prawem, art. 7 lit. f) dyrektywy 95/46 przewiduje dwie przesłanki kumulatywne, czyli z jednej strony, że przetwarzanie danych osobowych musi być konieczne dla realizacji potrzeb wynikających z uzasadnionych interesów administratora danych lub osób trzecich, którym dane są ujawniane, a drugiej strony, że interesy takie nie mogą mieć wyższej rangi w stosunku do podstawowych prawami i wolności osoby, której dane dotyczą. Należy mieć na względzie fakt, że druga z tych przesłanek wymaga wyważenia przeciwstawnych w danej sprawie praw i interesów, zależących zasadniczo od konkretnych okoliczności danego przypadku, w ramach której to przesłanki dokonująca wyważenia osoba lub instytucja musi uwzględniać wagę wynikających z art. 7 i 8 karty praw danej osoby. Rzeczony art. 7 lit. f) dyrektywy 95/46 stanowi często filar przy ocenie legalności przetwarzania danych osobowych ( 42 ).

65. W niniejszej sprawie wydaje mi się, że działalność wykonywana przez F. Ryneša ma na celu korzystanie z innych praw podstawowych, takich jak prawo własności i prawo do życia rodzinnego.

66. Zatem fakt, że dyrektywa 95/46 podlega zastosowaniu, niekoniecznie jest niekorzystny dla interesów administratora danych dokonującego przetwarzania danych osobowych, pod warunkiem że dane te są faktycznie zgodne z prawem na podstawie art. 7 lit. f) tej dyrektywy. Nielogiczne jest twierdzenie, że dla ochrony praw podstawowych F. Ryneša należałoby pozostawić bez zastosowania dyrektywę europejską, której celem jest właśnie stworzenie właściwej równowagi między prawami tej osoby i prawami innych osób fizycznych, czyli tych, których dotyczy przetwarzanie danych osobowych.

67. Fakt, że dyrektywę 95/46 stosuje się w odniesieniu do takiej sytuacji, nie oznacza sam w sobie nielegalnego charakteru działalności F. Ryneša. Natomiast to właśnie w ramach dyrektywy 95/46 należy dokonać wyważenia między prawami podstawowymi podlegającymi zastosowaniu w postępowaniu głównym.

V – Wnioski

68. Mając na względzie powyższe rozważania, proponuję, aby na przedłożone przez Nejvyšší správní soud pytanie prejudycjalne Trybunał odpowiedział w sposób następujący: Wykorzystywanie systemu kamer wideo zainstalowanego na domu w celu ochrony majątku, zdrowia i życia właścicieli domu, monitorującego również przestrzeń publiczną, nie wchodzi w zakres dokonywanego przez osobę fizyczną przetwarzania danych osobowych w celu wykonywaniu czynności o czysto osobistym lub domowym charakterze w rozumieniu art. 3 ust. 2 dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych oraz swobodnego przepływu tych danych.

( 1 ) Język oryginału: francuski.

( 2 ) Dz.U. L 281, s. 31.

( 3 ) Wyróżnienie moje.

( 4 ) C‑101/01, EU:C:2003:596.

( 5 ) C‑293/12 i C‑594/12, EU:C:2014:238.

( 6 ) C‑131/12, EU:C:2014:317.

( 7 ) Zgodnie z wyjaśnieniami odnośnie do tego artykułu „został on oparty na art. 286 traktatu ustawiającego Wspólnotę Europejską i na [dyrektywie 95/46] oraz na art. 8 EKPC i Konwencji Rady Europy w sprawie ochrony osób w zakresie automatycznego przetwarzania danych osobowych z dnia 28 stycznia 1981 r., ratyfikowanej przez wszystkie państwa członkowskie”.

( 8 ) Jeżeli dyrektywa 95/46 podlega zastosowaniu, rzeczone późniejsze wykorzystanie tych danych osobowych może mieć pewne znaczenie, na przykład w celu stosowania art. 7 lit. f) tej dyrektywy.

( 9 ) Zobacz tytułem przykładu tego orzecznictwa wyrok Europejskiego Trybunału Praw Człowieka z dnia 28 stycznia 2003 r. w sprawie Peck przeciwko Zjednoczonemu Królestwu, Recueil des arrêts et décisions, 2003‑I, § 57 i przytoczone tam orzecznictwo.

( 10 ) Artykuł 7 rzeczonej dyrektywy brzmi następująco: „Państwa członkowskie zapewniają, że dane osobowe mogą być przetwarzane tylko wówczas gdy: […] f) przetwarzanie danych jest konieczne dla potrzeb wynikających z uzasadnionych interesów administratora danych lub osoby trzeciej, lub osobom, którym dane są ujawniane, z wyjątkiem sytuacji, kiedy interesy takie podporządkowane są interesom związanym z podstawowymi prawami i wolnościami osoby, której dane dotyczą, które gwarantują ochronę na podstawie art. 1 ust. 1”.

( 11 ) W przedmiocie zastosowania tego przepisu zob. Opinion 06/2014 on the notion of legitimate interests of the data controller under Article 7 of Directive, dostępna w jęz. angielskim pod następującym adresem internetowym http://ec.europa.eu/justice/data-protection/index_en.htm.

( 12 ) Zobacz podobnie wyrok IPI (C‑473/12, EU:C:2013:715, pkt 28); a także art. 1 oraz motyw 10 dyrektywy 95/46.

( 13 ) Artykuł 8 ust. 1 EKPC ma następujące brzmienie: „Każdy ma prawo do poszanowania swojego życia prywatnego i rodzinnego, swojego mieszkania i swojej korespondencji.”

( 14 ) W wyroku Komisja/Bavarian Lager (C‑28/08 P, EU:C:2010:378, pkt 63) Trybunał powołał się na ochronę danych osobowych w kontekście dostępu do dokumentów w następujący sposób: „Wynika stąd, że jeżeli wniosek sporządzony w oparciu o rozporządzenie nr 1049/2001 ma na celu uzyskanie dostępu do dokumentów zawierających dane osobowe, przepisy rozporządzenia nr 45/2001 znajdują w pełni zastosowanie, w tym również jego art. 8 i 18”.

( 15 ) EU:C:2014:317, pkt 58.

( 16 ) Zobacz podobnie wyrok L’Oréal i in. (C‑324/09, EU:C:2011:474, pkt 62, 63).

( 17 ) Zobacz podobnie wyroki: Österreichischer Rundfunk i in. (C‑465/00, C‑138/01 i C‑139/01, EU:C:2003:294, pkt 70); Rijkeboer (C‑553/07, EU:C:2009:293, pkt 47); IPI (EU:C:2013:715, pkt 28 i przytoczone tam orzecznictwo).

( 18 ) Zobacz w szczególności wyroki: Google Spain i Google (EU:C:2014:317, pkt 68); Connolly/Komisja (C‑274/99 P, EU:C:2001:127, pkt 37); Österreichischer Rundfunk i in. (EU:C:2003:294, pkt 68).

( 19 ) EU:C:2014:317, pkt 69.

( 20 ) Artykuł 29 dyrektywy 95/46 ustanawia działającą w sposób niezależny grupę roboczą o charakterze doradczym, w której skład wchodzą między innymi przedstawiciele organów państw członkowskich odpowiedzialnych za ochronę danych osobowych (zwaną dalej „grupą roboczą »artykuł 29«”). Zobacz odnośnie do niniejszej kwestii opinia 4/2004 tej grupy roboczej w sprawie przetwarzania danych osobowych za pośrednictwem systemu kamer wideo, dostępna pod adresem internetowym http://ec.europa.eu/justice/data-protection/index_en.htm.

( 21 ) Zobacz również motyw 15 dyrektywy 95/46, według którego „przetwarzanie tych danych jest objęte niniejszą dyrektywą tylko wówczas, gdy jest ono zautomatyzowane lub jeśli dane zawarte są lub przeznaczone do umieszczenia w zamkniętym układzie zbiorów, zorganizowanym według określonych kryteriów dotyczących osób fizycznych w celu zapewnienia łatwego dostępu do wspomnianych danych osobowych”.

( 22 ) Wyrok Digital Rights Ireland i Seitlinger i in. (EU:C:2014:238, pkt 27).

( 23 ) Wyroki: Digital Rights Ireland i Seitlinger i in. (EU:C:2014:238, pkt 29); a także Volker und Markus Schecke i Eifert (C‑92/09 i C‑93/09, EU:C:2010:662, pkt 47).

( 24 ) Zobacz podobnie wyroki: Komisja/Niemcy (EU:C:2010:125, pkt 20–22); Österreichischer Rundfunk i in. (EU:C:2003:294, pkt 39, 70).

( 25 ) Zobacz podobnie wyroki ETPC: z dnia 16 lutego 2000 r. Amann przeciwko Szwajcarii, Recueil des arrêts et décisions, 2000‑II, § 69, 80; z dnia 4 maja 2000 r. Rotaru przeciwko Rumunii, Recueil des arrêts et décisions, 2000‑V, § 43, 46.

( 26 ) Wyrok Komisja/Niemcy (EU:C:2010:125, pkt 21).

( 27 ) Wyroki: Komisja/Niemcy (EU:C:2010:125, pkt 22); Österreichischer Rundfunk i in. (EU:C:2003:294, pkt 70); a także Satakunnan Markkinapörssi i Satamedia (C‑73/07, EU:C:2008:727, pkt 52).

( 28 ) Wyroki: Digital Rights Ireland i Seitlinger i in. (EU:C:2014:238, pkt 52); IPI (EU:C:2013:715, pkt 39 i przytoczone tam orzecznictwo).

( 29 ) Wyrok Digital Rights Ireland i Seitlinger i in. (EU:C:2014:238, pkt 53).

( 30 ) W przedmiocie wyjątku przewidzianego w tiret pierwszym zob. wyrok Lindqvist (EU:C:2003:596, pkt 43 i nast.).

( 31 ) Motyw 12 dyrektywy.

( 32 ) Wyroki: Satakunnan Markkinapörssi i Satamedia (EU:C:2008:727, pkt 38–49), Parlament/Rada i Komisja (C‑317/04 i C‑318/04, EU:C:2006:346, pkt 54–61); Lindqvist (EU:C:2003:596, pkt 47).

( 33 ) Zgodnie z tymi przepisami dane osobowe „muszą być przetwarzane rzetelnie w określonych celach i za zgodą osoby zainteresowanej lub na innej uzasadnionej podstawie przewidzianej ustawą. Każdy ma prawo dostępu do zebranych danych, które go dotyczą, i prawo do dokonania ich sprostowania […]. Przestrzeganie tych zasad podlega kontroli niezależnego organu […]”.

( 34 ) Zobacz opinia rzecznika generalnego A. Tizzana w sprawie Lindqvist (EU:C:2002:513, w szczególności pkt 34, 35) (wyróżnienie moje). Ponadto rzecznik ten stał na stanowisku, że „analizowane przetwarzanie miało miejsce w celu dokonania czynności niepodlegających pod zakres zastosowania prawa wspólnotowego”. Trybunał jednak odrzucił tę wykładnię.

( 35 ) Wyrok Digital Rights Ireland i Seitlinger i in. (EU:C:2014:238, pkt 37).

( 36 ) Zobacz opinia 4/2004 grupy roboczej „artykuł 29” w sprawie przetwarzania danych osobowych za pośrednictwem systemu monitoringu wideo.

( 37 ) Zobacz na przykład wyrok Lindqvist (EU:C:2003:596, pkt 47).

( 38 ) Wyrok Digital Rights Ireland i Seitlinger i in. (EU:C:2014:238, pkt 34).

( 39 ) Ibidem, pkt 35. Zobacz odnośnie do art. 8 EKPC wyroki ETPC: z dnia 26 marca 1987 r. w sprawie Leander przeciwko Szwecji, seria A, nr 116, § 48; w sprawie Rotaru przeciwko Rumunii [GC], nr 28341/95, Recueil des arrêts et décisions, 2000‑V, § 46; a także w sprawie Weber i Saravia przeciwko Niemcom (déc.), nr 54934/00, Recueil des arrêts et décisions 2006‑XI, § 79.

( 40 ) W przedmiocie legitymacji zob. na przykład wyrok Worten (C‑342/12, EU:C:2013:355, pkt 33 i nast.).

( 41 ) Wyroki: Google Spain i Google (EU:C:2014:317, pkt 71); Österreichischer Rundfunk i in. (EU:C:2003:294, pkt 65); ASNEF i FECEMD (C‑468/10 i C‑469/10, EU:C:2011:777, pkt 26); a także Worten (EU:C:2013:355, pkt 33).

( 42 ) Na rozprawie została podniesiona inna kwestia, to jest kwestia dokonania oceny dotyczącej kamer wniesionych na pokład pojazdów rejestrujących. Na podstawie zaproponowanej wykładni wydaje mi się jasne, że te urządzenia monitoringu drogi publicznej, w tym osób poruszających się tam, nie mogą być objęte zakresem tego wyjątku i że korzystanie z nich podlega zatem w pełni pod przesłanki przewidziane w dyrektywie 95/46.