CELEX: 62010CJ0468
Language: pl
Date: 2011-11-24 00:00:00
Title: Wyrok Trybunału (trzecia izba) z dnia 24 listopada 2011 r.#Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF) (C-468/10) i Federación de Comercio Electrónico y Marketing Directo (FECEMD) (C-469/10) przeciwko Administración del Estado.#Wnioski o wydanie orzeczenia w trybie prejudycjalnym: Tribunal Supremo - Hiszpania.#Przetwarzanie danych osobowych - Dyrektywa 95/46/WE - Artykuł 7 lit. f) - Bezpośrednia skuteczność.#Sprawy połączone C-468/10 i C-469/10.

Sprawy połączone C‑468/10 i C‑469/10
      Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF)
      i
      Federación de Comercio Electrónico y Marketing Directo (FECEMD)
      przeciwko
      Administración del Estado
      (wnioski o wydanie orzeczenia w trybie prejudycjalnymzłożone przez Tribunal Supremo)
      
      Przetwarzanie danych osobowych – Dyrektywa 95/46/WE – Artykuł 7 lit. f) – Bezpośrednia skuteczność
      Streszczenie wyroku
      1.        Zbliżanie ustawodawstw – Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Dyrektywa 95/46 – Pełna harmonizacja
            – Zamknięty wykaz przypadków legalnego przetwarzanie danych osobowych
      (dyrektywa 95/46 Parlamentu Europejskiego i Rady, art. 7)
      2.        Zbliżanie ustawodawstw – Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Dyrektywa 95/46 – Zasady legalności
            przetwarzania danych osobowych 
      (Karta praw podstawowych Unii Europejskiej, art. 7, 8; dyrektywa 95/46 Parlamentu Europejskiego i Rady, art. 5, 7 lit. f))
      3.        Zbliżanie ustawodawstw – Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Dyrektywa 95/46 – Zakres swobodnego
            uznania jakim dysponują państwa członkowskie – Zakres
      (dyrektywa 95/46 Parlamentu Europejskiego i Rady, art. 5)
      4.        Zbliżanie ustawodawstw – Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Dyrektywa 95/46 – Zasady legalności
            przetwarzania danych osobowych
      (Karta praw podstawowych Unii Europejskiej, art. 7, 8; dyrektywa 95/46 Parlamentu Europejskiego i Rady, art. 7 lit. f))
      5.        Prawa podstawowe – Poszanowanie życia prywatnego – Ochrona danych osobowych – Ograniczenia tolerowane w oparciu o Kartę praw
            podstawowych Unii Europejskiej 
      (Karta praw podstawowych Unii Europejskiej, art. 7, 8, 52 ust. 1)
      6.        Akty instytucji – Dyrektywy – Bezpośrednia skuteczność – Przesłanki
      (art. 249 akapit trzeci WE; dyrektywa 95/46 Parlamentu Europejskiego i Rady, art. 7 lit. f))
      1.        Harmonizacja ustawodawstw krajowych, których dotyczy dyrektywa 95/46 w sprawie ochrony osób fizycznych w zakresie przetwarzania
         danych osobowych i swobodnego przepływu tych danych, nie ogranicza się do minimalnego jej zakresu, lecz prowadzi do harmonizacji,
         która jest co do zasady pełna. W tym właśnie celu owa dyrektywa ma zapewnić swobodny przepływ danych osobowych, gwarantując
         równocześnie wysoki poziom ochrony praw i interesów osób, których dane te dotyczą. W konsekwencji, z owego wynika, że art. 7
         owej dyrektywy przewiduje zamknięty i wyczerpujący wykaz przypadków, w których przetwarzanie danych osobowych może zostać
         uznane za legalne. W związku z tym państwa członkowskie nie mogą dodawać nowych kryteriów legalności przetwarzania danych
         osobowych względem kryteriów ustanowionych w art. 7 omawianej dyrektywy, ani też ustanawiać dodatkowych wymogów, które doprowadziłyby
         do modyfikacji zakresu jednego z sześciu kryteriów przewidzianych we wspomnianym artykule. 
      
      Wykładni tej nie podważa przysługująca państwom członkowskim, na podstawie art. 5 dyrektywy 95/46, możliwość określenia warunków
         ustalania legalności przetwarzania danych osobowych. W istocie państwa członkowskie nie mogą w oparciu o zakres swobodnego
         uznania, jakim dysponują na mocy przywołanego art. 5, innych kryteriów legalności przetwarzania danych osobowych niż kryteria
         ustanowione w art. 7 tej dyrektywy, ani też modyfikować, za pomocą dodatkowych wymogów, zakresu kryteriów o których mowa we
         wspomnianym art. 7.
      
      (por. pkt 29, 30, 32, 33, 35, 36)
      2.        Artykuł 7 lit. f) dyrektywy 95/46 w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego
         przepływu tych danych, należy interpretować w ten sposób, iż stoi on na przeszkodzie przepisom krajowym, które w braku zgody
         osoby, której dotyczą dane, i celem dopuszczenia przetwarzania jej danych osobowych niezbędnego dla realizacji potrzeb wynikających
         z uzasadnionych interesów administratora danych lub osoby trzeciej lub osób trzecich, którym dane są ujawniane, wymagają,
         poza poszanowaniem podstawowych praw i wolności tej osoby, by dane te były zawarte w powszechnie dostępnych źródłach, wykluczając
         tym samym w sposób kategoryczny i ogólny wszelką możliwość przetwarzania danych niezawartych w takich źródłach.
      
      W istocie z jednej strony, z celu owej dyrektywy jakim jest zapewnienie swobodnego przepływu danych osobowych, gwarantując
         równocześnie wysoki poziom ochrony praw i interesów osób, których dane te dotyczą, wynika że jej art. 7 przewiduje zamknięty
         i wyczerpujący wykaz przypadków, w których przetwarzanie danych osobowych może zostać uznane za legalne. Co za tym idzie,
         państwa członkowskie nie mogą wprowadzać nowych kryteriów legalności przetwarzania danych osobowych, ani też modyfikować,
         za pomocą dodatkowych wymogów, zakresu kryteriów przewidzianych we wspomnianym art. 7.
      
      Z drugiej strony, w celu przewidzianego na mocy art. 7 lit. f) tej dyrektywy, ważenia przeciwstawnych praw i interesów występujących
         w danym przypadku państwa członkowskie mogą ustanowić wytyczne. Mogą one również uwzględnić okoliczność, że powaga naruszenia
         praw podstawowych osoby, której przetwarzanie dotyczy, może różnić się w zależności od tego, czy sporne dane figurują już
         w powszechnie dostępnych źródłach. W tym ostatnim wypadku będzie to naruszenie o większej wadze.
      
      Nie chodzi jednakże już o doprecyzowanie lecz o dodatkowy wymóg zakazany na mocy art. 7 lit. f) tej dyrektywy, jeżeli przepisy
         krajowe wykluczają w odniesieniu do określonych kategorii danych osobowych możliwość ich przetwarzania, określając w stosunku
         do nich w sposób ostateczny rezultat ważenia przeciwstawnych praw i interesów, tym samym nie dopuszczając do innego rezultatu
         będącego wynikiem szczególnych okoliczności konkretnego przypadku.
      
      (por. pkt 29, 30, 32, 36, 44–49; pkt 1 sentencji)
      3.        Dyrektywa 95/46 w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych,
         zawiera przepisy charakteryzujące się pewną elastycznością i w szeregu przypadków pozostawia państwom członkowskim zadanie
         ustalenia szczegółów lub dokonania wyboru między istniejącymi opcjami. Należy zatem dokonać rozróżnienia pomiędzy przepisami
         krajowymi, które przewidują dodatkowe wymogi zmieniające zakres kryterium, o którym mowa w art. 7 tej dyrektywy, z jednej
         strony, a przepisami krajowymi, które dokonują zwykłego doprecyzowania jednego z tych kryteriów, z drugiej strony. Pierwszy
         rodzaj przepisów krajowych jest niedozwolony. Tylko w ramach drugiego rodzaju przepisów krajowych państwa członkowskie dysponują,
         na mocy art. 5 omawianej dyrektywy, zakresem swobodnego uznania. 
      
      (por. pkt 35)
      4.        Artykuł 7 lit. f) dyrektywy 95/46 w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego
         przepływu tych danych, zawiera dwie kumulatywne przesłanki legalności przetwarzania danych osobowych, a mianowicie, po pierwsze,
         wymóg, by przetwarzanie było konieczne dla realizacji potrzeb wynikających z uzasadnionych interesów administratora danych
         lub osoby trzeciej lub osób trzecich, którym dane są ujawniane, a po drugie, wymóg, by pierwszeństwa nie znajdowały podstawowe
         prawa i wolności osoby, której dane dotyczą. Druga z tych przesłanek wymaga wyważenia przeciwstawnych w sprawie praw i interesów,
         które zależy co do zasady od konkretnych okoliczności indywidualnego przypadku i w ramach którego osoba lub instytucja dokonująca
         wyważenia musi brać pod uwagę doniosłość praw osoby, której dane dotyczą, wynikających z art. 7 i 8 Karty praw podstawowych
         Unii Europejskiej. 
      
      (por. pkt 38, 40)
      5.        Poszanowanie życia prywatnego w kontekście przetwarzania danych osobowych, uznane w art. 7 i 8 Karty praw podstawowych Unii
         Europejskiej, odnosi się do wszelkich informacji dotyczących zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej.
         Niemniej z art. 8 ust. 2 i art. 52 ust. 1 karty wynika, że pod pewnymi warunkami prawo to może podlegać ograniczeniom. 
      
      (por. pkt 42)
      6.        W każdym przypadku, gdy przepisy dyrektywy okazują się, ze względu na swoją treść, bezwarunkowe i wystarczająco precyzyjne,
         jednostki mają prawo powoływać się na nie przed sądami krajowymi wobec państwa, zarówno gdy państwo nie dokonało w terminie
         transpozycji dyrektywy do prawa krajowego, jak i gdy dokonana transpozycja jest nieprawidłowa. Jest tak w wypadku art. 7 lit. f)
         dyrektywy 95/46 w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych.
         O ile owa dyrektywa przyznaje państwom członkowskim mniej lub bardziej szeroki zakres uznania dotyczący wdrażania niektórych
         jej przepisów, o tyle wspomniany art. 7 lit. f) jako taki przewiduje obowiązek bezwarunkowy. 
      
      (por. pkt 51, 52, 55; pkt 2 sentencji)
WYROK TRYBUNAŁU (trzecia izba) 
      z dnia 24 listopada 2011 r.(*)
      
      Przetwarzanie danych osobowych – Dyrektywa 95/46/WE – Artykuł 7 lit. f) – Bezpośrednia skuteczność
      W sprawach połączonych C‑468/10 i C‑469/10
      mających za przedmiot wnioski o wydanie, na podstawie art. 267 TFUE, orzeczenia w trybie prejudycjalnym, złożone przez Tribunal
         Supremo (Hiszpania) postanowieniami z dnia 15 lipca 2010 r., które wpłynęły do Trybunału w dniu 28 września 2010 r., w postępowaniach:
      
      Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF) (C‑468/10),
      
      Federación de Comercio Electrónico y Marketing Directo (FECEMD) (C‑469/10)
      
      przeciwko
      Administración del Estado,
      
      przy udziale:
      Unión General de Trabajadores (UGT) (C‑468/10 i C‑469/10),
      
      Telefónica de España SAU (C‑468/10),
      
      France Telecom España SA (C‑468/10 i C‑469/10),
      
      Telefónica Móviles de España SAU (C‑469/10),
      
      Vodafone España SA (C‑469/10),
      
      Asociación de Usuarios de la Comunicación (C‑469/10),
      
      TRYBUNAŁ (trzecia izba),
      w składzie: K. Lenaerts (sprawozdawca), prezes izby, R. Silva de Lapuerta, E. Juhász, T. von Danwitz i D. Šváby, sędziowie,
      rzecznik generalny: P. Mengozzi,
      sekretarz: M. Ferreira, główny administrator,
      uwzględniając procedurę pisemną i po przeprowadzeniu rozprawy w dniu 15 września 2011 r.,
      rozważywszy uwagi przedstawione:
      –        w imieniu Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF) przez C. Alonsa Martíneza oraz A. Creusa
         Carrerasa, abogados,
      
      –        w imieniu Federación de Comercio Electrónico y Marketing Directo (FECEMD) przez R. Garcíę del Poya Vizcayę oraz M.Á. Serrana
         Péreza, abogados,
      
      –        w imieniu rządu hiszpańskiego przez M. Muñoza Péreza, działającego w charakterze pełnomocnika,
      –        w imieniu Komisji Europejskiej przez I. Martínez del Peral oraz B. Martenczuka, działających w charakterze pełnomocników,
      podjąwszy, po wysłuchaniu rzecznika generalnego, decyzję o rozstrzygnięciu sprawy bez opinii,
      wydaje następujący
      Wyrok
      1        Wnioski o wydanie orzeczenia w trybie prejudycjalnym dotyczą wykładni art. 7 lit. f) dyrektywy 95/46/WE Parlamentu Europejskiego
         i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego
         przepływu tych danych (Dz.U. L 281, s. 31).
      
      2        Wnioski te zostały złożone w ramach sporów między Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF) (krajowym
         stowarzyszeniem instytucji finansowo‑kredytowych, zwanym dalej „ASNEF”) oraz Federación de Comercio Electrónico y Marketing
         Directo (FECEMD) (federacją handlu elektronicznego i marketingu bezpośredniego, zwaną dalej „FECEMD”) a Administración del
         Estado (administracją państwową).
      
       Ramy prawne
       Prawo Unii
       Dyrektywa 95/46
      3        Motywy 7, 8 i 10 dyrektywy 95/46 mają następujące brzmienie:
      
      „(7)      Różnica w stopniu ochrony praw i wolności jednostek, szczególnie prawa do prywatności, w odniesieniu do przetwarzania danych
         osobowych, zapewnionego w poszczególnych państwach członkowskich może uniemożliwiać przesyłanie tych danych z terytorium jednego
         państwa członkowskiego do drugiego państwa członkowskiego; różnica ta może zatem stanowić przeszkodę w realizacji szeregu
         przedsięwzięć ekonomicznych na poziomie wspólnotowym, zakłócać konkurencję i utrudniać władzom wykonywanie ich obowiązków
         wynikających z przepisów prawa wspólnotowego; wspomniana różnica w stopniu ochrony jest wynikiem istnienia wielkiej różnorodności
         krajowych przepisów ustawowych, wykonawczych i administracyjnych.
      
      (8)      W celu zniesienia przeszkód w przepływie danych osobowych stopień ochrony praw i wolności jednostek w zakresie przetwarzania
         tych danych musi być jednakowy we wszystkich państwach członkowskich; cel ten ma żywotne znaczenie dla rynku wewnętrznego,
         lecz nie może on być osiągnięty przez same państwa członkowskie, szczególnie mając na uwadze skalę rozbieżności, jakie obecnie
         występują między odpowiednimi ustawodawstwami krajowymi, oraz potrzebę dokonania koordynacji ustawodawstw państw członkowskich
         w celu zapewnienia jednolitej regulacji transgranicznego przepływu danych osobowych, zgodnie z celem rynku wewnętrznego przewidzianego
         w art. 7a traktatu; konieczne są wspólnotowe działania na rzecz zbliżenia ustawodawstw.
      
      [...]
      (10)      Celem krajowych przepisów prawa dotyczących przetwarzania danych osobowych jest ochrona podstawowych praw i wolności, szczególnie
         prawa do prywatności, które zostało uznane zarówno w art. 8 europejskiej Konwencji o ochronie praw człowieka i podstawowych
         wolności [, podpisanej w Rzymie w dniu 4 listopada 1950 r. (zwanej dalej »EKPC«), ] oraz w zasadach ogólnych prawa wspólnotowego;
         z tego powodu zbliżanie przepisów prawa nie powinno wpłynąć na zmniejszenie ochrony, jaką gwarantują, lecz przeciwnie, musi
         dążyć do zapewnienia jak najwyższego stopnia ochrony we Wspólnocie”.
      
      4        Artykuł 1 omawianej dyrektywy, zatytułowany „Cel dyrektywy”, ma następujące brzmienie:
      
      „1.      Zgodnie z przepisami niniejszej dyrektywy, państwa członkowskie zobowiązują się chronić podstawowe prawa i wolności osób fizycznych,
         w szczególności ich prawo do prywatności w odniesieniu do przetwarzania danych osobowych.
      
      2.      Państwa członkowskie nie będą ograniczać ani zakazywać swobodnego przepływu danych osobowych między państwami członkowskimi
         ze względów związanych z ochroną przewidzianą w ust. 1”.
      
      5        Artykuł 5 tej dyrektywy ma następujące brzmienie:
      
      „Państwa członkowskie określą, w granicach przepisów zawartych w niniejszym rozdziale, bardziej szczegółowe warunki ustalania
         legalności przetwarzania danych osobowych”.
      
      6        Artykuł 7 dyrektywy 95/46 stanowi:
      
      „Państwa członkowskie zapewniają, że dane osobowe mogą być przetwarzane tylko wówczas, gdy:
      a)      osoba, której dane dotyczą, jednoznacznie wyraziła na to zgodę; lub
      [...]
      f)      przetwarzanie danych jest konieczne dla [realizacji] potrzeb wynikających z uzasadnionych interesów administratora danych
         lub osoby trzeciej, lub osobom [lub osób trzecich], którym dane są ujawniane, z wyjątkiem sytuacji, kiedy interesy takie podporządkowane
         są interesom związanym z podstawowymi prawami i wolnościami osoby, której dane dotyczą, które gwarantują ochronę na podstawie
         art. 1 ust. 1 [z wyjątkiem sytuacji, kiedy pierwszeństwo mają interesy lub podstawowe prawa i wolności osoby, której dane
         dotyczą, wymagające ochrony zgodnie z art. 1 ust. 1]”.
      
      7        Artykuł 13 ust. 1 rzeczonej dyrektywy stanowi:
      
      „Państwo członkowskie może przyjąć środki ustawodawcze w celu ograniczenia zakresu praw i obowiązków, przewidzianego w art. 6
         ust. 1, art. 10, art. 11 ust. 1, art. 12 oraz 21, kiedy ograniczenie takie stanowi środek konieczny dla zabezpieczenia:
      
      a)      bezpieczeństwa narodowego;
      b)      obronności;
      c)      bezpieczeństwa publicznego;
      d)      działań prewencyjnych, prowadzonych czynności dochodzeniowo‑śledczych i prokuratorskich w sprawach karnych lub sprawach o naruszenie
         zasad etyki w zawodach podlegających regulacji;
      
      e)      ważnego interesu ekonomicznego lub finansowego państwa członkowskiego lub Unii Europejskiej, łącznie z kwestiami pieniężnymi,
         budżetowymi i podatkowymi;
      
      f)      funkcji kontrolnych, inspekcyjnych i regulacyjnych związanych, nawet sporadycznie, z wykonywaniem władzy publicznej w przypadkach
         wymienionych w lit. c)–e);
      
      g)      ochrony osoby, której dane dotyczą, oraz praw i wolności innych osób”.
       Prawo krajowe
       Ley Orgánica 15/1999
      8        Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (ustawa organiczna 15/1999 o ochronie
         danych osobowych) (BOE nr 298 z dnia 14 grudnia 1999 r., s. 43088) dokonuje transpozycji dyrektywy 95/46 do prawa hiszpańskiego.
      
      9        Artykuł 3 lit. j) ustawy organicznej 15/1999 wymienia „powszechnie dostępne źródła” w zamkniętym i wyczerpującym wykazie,
         o następującym brzmieniu:
      
      „[...] zasoby, do których wgląd mają wszyscy bez ograniczeń lub wymogów innych niż, w odpowiednim przypadku, uiszczenie opłaty.
         Charakter powszechnie dostępnych źródeł mają wyłącznie spisy wyborców, książki telefoniczne na zasadach przewidzianych w przepisach
         szczególnych oraz listy osób należących do grup zawodowych, które zawierają wyłącznie dane dotyczące nazwiska, tytułu, zawodu,
         działalności, stopnia akademickiego, adresu oraz wskazanie na ich przynależność do grupy. Podobnie charakter powszechnie dostępnych
         źródeł mają dzienniki i biuletyny urzędowe oraz media”.
      
      10      Artykuł 6 ust. 1 ustawy organicznej 15/1999 wymaga dla przetwarzania danych wyraźnej zgody osoby zainteresowanej, chyba że
         ustawa stanowi inaczej. I tak, art. 6 ust. 2 in fine tej ustawy przewiduje, że zgoda nie jest konieczna, między innymi „kiedy
         dane zawarte są w powszechnie dostępnych źródłach i ich przetwarzanie jest konieczne dla realizacji potrzeb wynikających z uzasadnionych
         interesów administratora danych lub osoby trzeciej, której dane są ujawniane, o ile nie zostają naruszone podstawowe prawa
         i wolności osoby, której dane dotyczą”.
      
      11      Artykuł 11 ust. 1 ustawy organicznej 15/1999 przypomina o konieczności uzyskania zgody na ujawnienie osobom trzecim danych
         o charakterze osobowym, jednakże ust. 2 tego artykułu stanowi, że zgoda ta nie jest konieczna, między innymi kiedy chodzi
         o dane zawarte w powszechnie dostępnych źródłach.
      
       Real Decreto 1720/2007
      12      Rząd hiszpański wykonał ustawę organiczną 15/1999 w drodze Real Decreto 1720/2007 (dekretu królewskiego 1720/2007) (BOE nr 17
         z dnia 19 stycznia 2008 r., s. 4103).
      
      13      Artykuł 10 ust. 1 dekretu królewskiego 1720/2007 dopuszcza przetwarzanie i przekazywanie danych osobowych po uzyskaniu uprzedniej
         zgody osoby, której dane dotyczą.
      
      14      Niemniej art. 10 ust. 2 dekretu królewskiego 1720/2007 stanowi:
      
      „[...] dopuszczalne jest przetwarzanie i przekazywanie danych o charakterze osobowym bez konieczności uzyskania zgody osoby,
         której dane dotyczą, jeżeli:
      
      a)      pozwala na to przepis rangi ustawowej lub przepis prawa wspólnotowego, a w szczególności, jeżeli zachodzi jeden z następujących
         wypadków:
      
      –        przetwarzanie lub przekazywanie danych służy realizacji potrzeb wynikających z uzasadnionych interesów administratora danych
         lub osoby, której dane są przekazywane, chronionej na podstawie tych przepisów, z wyjątkiem sytuacji, kiedy pierwszeństwo
         mają interesy lub podstawowe prawa i wolności osób, których dane dotyczą, o których mowa w art. 1 ustawy organicznej 15/1999
         z dnia 13 grudnia; 
      
      –        przetwarzanie lub przekazywanie danych jest konieczne do wypełnienia przez administratora danych obowiązku nałożonego na niego
         na podstawie jednego z tych przepisów;
      
      b)      przetwarzane lub przekazywane dane zawarte są w powszechnie dostępnych źródłach i administrator danych lub osoba trzecia,
         której ujawniane są dane, mają uzasadniony interes w ich przetwarzaniu lub przekazaniu, o ile nie narusza to podstawowych
         praw i wolności osoby, której dane dotyczą.
      
      Niemniej jednak organy administracji publicznej mogą ujawnić, na podstawie niniejszego ustępu, administratorom prywatnych
         zasobów danych dane zawarte w powszechnie dostępnych źródłach tylko wtedy, gdy są do tego upoważnione na podstawie przepisu
         rangi ustawowej”.
      
       Postępowania przed sądem krajowymi i pytania prejudycjalne
      15      ASNEF oraz FECEMD zaskarżyły przed sądem administracyjnym szereg artykułów dekretu królewskiego 1720/2007.
      
      16      Do zaskarżonych przepisów należą art. 10 ust. 2 lit. a) tiret pierwsze oraz art. 10 ust. 2 lit. b) akapit pierwszy wspomnianego
         dekretu, którym ASNEF i FECEMD zarzucają niezgodność z art. 7 lit. f) dyrektywy 95/46.
      
      17      W szczególności, ASNEF i FECEMD twierdzą, że prawo hiszpańskie dodaje do uzasadnionego interesu będącego przesłanką przetwarzania
         danych bez zgody osoby, której dane te dotyczą, przesłankę, która nie została ustanowiona w dyrektywie 95/46, zgodnie z którą
         dane te muszą być zawarte w powszechnie dostępnych źródłach.
      
      18      Tribunal Supremo jest zdania, że zasadność powództw wniesionych odpowiednio przez ASNEF i FECEMD zależy w znacznej mierze
         od wykładni, jaką Trybunał nada art. 7 lit. f) dyrektywy 95/46. Tribunal Supremo precyzuje w tym względzie, że jeżeli Trybunał
         uzna, iż państwa członkowskie nie mogą ustanawiać dodatkowych przesłanek względem przewidzianych we wspomnianym artykule dyrektywy
         i że przepisowi temu można przypisać bezpośrednią skuteczność, należy odstąpić od stosowania art. 10 ust. 2 lit. b) dekretu
         królewskiego 1720/2007.
      
      19      Tribunal Supremo wyjaśnia, że w braku zgody osoby, której dane dotyczą, celem dopuszczenia przetwarzania jej danych osobowych
         niezbędnego dla realizacji potrzeb wynikających z uzasadnionych interesów administratora danych lub osoby trzeciej lub osób
         trzecich, którym dane są ujawniane, prawo hiszpańskie wymaga, poza poszanowaniem podstawowych praw i wolności osoby, której
         dane dotyczą, by dane te były zawarte w zasobach wymienionych w art. 3 lit. j) ustawy organicznej 15/1999. Sąd ten wyraża
         pogląd, że wspomniana ustawa i dekret królewski 1720/2007 zawężają zakres art. 7 lit. f) dyrektywy 95/46.
      
      20      Zdaniem Tribunal Supremo zawężenie to stanowi przeszkodę dla swobodnego przepływu danych osobowych, która jest zgodna z dyrektywą
         95/46 tylko w zakresie, w jakim wymaga tego interes lub podstawowe prawa i wolności osoby, której dane te dotyczą. Sąd ten
         wywodzi z powyższego, że jedyną możliwością, aby uniknąć sprzeczności między omawianą dyrektywą a prawem hiszpańskim, byłoby
         przyjęcie, że swobodny przepływ danych osobowych zawartych w zasobach innych niż wymienione w art. 3 lit. j) ustawy organicznej
         15/1999 narusza interes lub podstawowe prawa i wolności osoby, której dane dotyczą.
      
      21      Tribunal Supremo żywi jednak wątpliwości co do zgodności takiej wykładni z wolą prawodawcy Unii.
      
      22      W tych okolicznościach, uznawszy, że rozwiązanie obu zawisłych przed nim spraw zależy od wykładni przepisów prawa Unii, Tribunal
         Supremo postanowił zawiesić postępowanie i skierować do Trybunału następujące pytania prejudycjalne, sformułowane identycznie
         w obu wspomnianych sprawach:
      
      „1)      Czy art. 7 lit. f) dyrektywy 95/46 […] należy interpretować w ten sposób, iż stoi on na przeszkodzie przepisom krajowym, które
         w braku zgody osoby, której dotyczą dane, i celem dopuszczenia przetwarzania jej danych osobowych niezbędnego dla realizacji
         potrzeb wynikających z uzasadnionych interesów administratora danych lub osób trzecich, którym dane są ujawniane, wymagają,
         poza poszanowaniem podstawowych praw i wolności osoby, której dane dotyczą, by dane te były zawarte w powszechnie dostępnych
         źródłach?
      
      2)      Czy [wspomniany] art. 7 lit. f) […] spełnia przesłanki wymagane przez orzecznictwo Trybunału Sprawiedliwości Unii Europejskiej
         dla przyznania mu bezpośredniej skuteczności?”.
      
      23      Postanowieniem prezesa Trybunału z dnia 26 października 2010 r. sprawy C‑468/10 i C‑469/10 zostały połączone do celów procedury
         pisemnej i ustnej oraz w celu wydania wyroku.
      
       W przedmiocie pytań prejudycjalnych
       W przedmiocie pytania pierwszego
      24      Za pomocą pytania pierwszego sąd odsyłający zmierza w istocie do ustalenia, czy art. 7 lit. f) dyrektywy 95/46 należy interpretować
         w ten sposób, iż stoi on na przeszkodzie przepisom krajowym, które w braku zgody osoby, której dotyczą dane, i celem dopuszczenia
         przetwarzania jej danych osobowych niezbędnego dla realizacji potrzeb wynikających z uzasadnionych interesów administratora
         danych lub osoby trzeciej lub osób trzecich, którym dane są ujawniane, wymagają, poza poszanowaniem podstawowych praw i wolności
         tej osoby, by dane te były zawarte w powszechnie dostępnych źródłach.
      
      25      Artykuł 1 dyrektywy 95/46 zobowiązuje państwa członkowskie do zapewnienia ochrony podstawowych praw i wolności osób fizycznych,
         a w szczególności ich prawa do prywatności w zakresie przetwarzania danych osobowych (zob. podobnie wyrok z dnia 16 grudnia
         2008 r. w sprawie C‑524/06 Huber, Zb.Orz. s. I‑9705, pkt 47).
      
      26      Zgodnie z przepisami rozdziału II dyrektywy 95/46, zatytułowanego „Ogólne zasady legalności przetwarzania danych osobowych”,
         z zastrzeżeniem dozwolonych na mocy jej art. 13 odstępstw, każda operacja przetwarzania danych osobowych musi być zgodna z jednej
         strony z wyrażonymi w art. 6 tej dyrektywy zasadami odnoszącymi się do charakteru danych, a z drugiej strony – z jednym z sześciu kryteriów
         legalności przetwarzania danych, wymienionych w art. 7 tej dyrektywy (zob. podobnie wyrok z dnia 20 maja 2003 r. w sprawach
         połączonych C‑465/00, C‑138/01 i C‑139/01 Österreichischer Rundfunk i in., Rec. s. I‑4989, pkt 65; a także ww. wyrok w sprawie
         Huber, pkt 48).
      
      27      Z motywu 7 dyrektywy 95/46 wynika, że różnice między krajowymi reżimami przetwarzania danych osobowych mogą poważnie zakłócić
         tworzenie i funkcjonowanie rynku wewnętrznego (zob. wyrok z dnia 6 listopada 2003 r. w sprawie C‑101/01 Lindqvist, Rec. s. I‑12971,
         pkt 79).
      
      28      W tym kontekście konieczne wydaje się przypomnienie, że dyrektywa 95/46 ma na celu, jak to wynika w szczególności z jej motywu 8,
         zapewnienie równoważności stopnia ochrony praw i wolności jednostek w zakresie przetwarzania danych osobowych we wszystkich
         państwach członkowskich. W motywie 10 tej dyrektywy dodano, że zbliżanie ustawodawstw krajowych w omawianej dziedzinie nie
         powinno wpłynąć na zmniejszenie ochrony, jaką gwarantują, lecz przeciwnie – musi służyć zapewnieniu jak najwyższego stopnia
         ochrony w Unii (zob. podobnie ww. wyroki: w sprawie Lindqvist, pkt 95; w sprawie Huber, pkt 50).
      
      29      Zgodnie z orzecznictwem harmonizacja wspomnianych ustawodawstw krajowych nie ogranicza się do minimalnego jej zakresu, lecz
         prowadzi do harmonizacji, która jest co do zasady pełna. W takich właśnie ramach dyrektywa 95/46 ma zapewnić swobodny przepływ
         danych osobowych, gwarantując równocześnie wysoki poziom ochrony praw i interesów osób, których dane te dotyczą (zob. ww.
         wyrok w sprawie Lindqvist, pkt 96).
      
      30      W konsekwencji, z celu polegającego na zapewnieniu równoważnego poziomu ochrony we wszystkich państwach członkowskich wynika,
         że art. 7 dyrektywy 95/46 przewiduje zamknięty i wyczerpujący wykaz przypadków, w których przetwarzanie danych osobowych może
         zostać uznane za legalne.
      
      31      Wykładnia ta znajduje potwierdzenie w sformułowaniu „mogą być przetwarzane tylko wówczas, gdy” oraz spójniku „lub” zawartych
         w art. 7 dyrektywy 95/46, które wskazują na zamknięty i wyczerpujący charakter wykazu umieszczonego w tym artykule.
      
      32      Z powyższego należy wyprowadzić wniosek, że państwa członkowskie nie mogą dodawać nowych kryteriów legalności przetwarzania
         danych osobowych względem kryteriów ustanowionych w art. 7 dyrektywy 95/46, ani też ustanawiać dodatkowych wymogów, które
         doprowadziłyby do modyfikacji zakresu jednego z sześciu kryteriów przewidzianych we wspomnianym artykule.
      
      33      Artykuł 5 dyrektywy 95/46 nie podważa przedstawionej wykładni. Upoważnia on bowiem państwa członkowskie jedynie do określenia,
         w granicach przepisów zawartych w rozdziale II tej dyrektywy, a co za tym idzie i jej art. 7, bardziej szczegółowych warunków
         ustalania legalności przetwarzania danych osobowych.
      
      34      Zakres swobodnego uznania, jakim na mocy przywołanego art. 5 dysponują państwa członkowskie, może zatem być wykorzystywany
         wyłącznie zgodnie z celem realizowanym przez dyrektywę 95/46, polegającym na utrzymaniu równowagi między swobodnym przepływem
         danych osobowych a ochroną życia prywatnego (zob. ww. wyrok w sprawie Lindqvist, pkt 97).
      
      35      Dyrektywa 95/46 zawiera przepisy charakteryzujące się pewną elastycznością i w szeregu przypadków pozostawia państwom członkowskim
         zadanie ustalenia szczegółów lub dokonania wyboru między istniejącymi opcjami (zob. ww. wyrok w sprawie Lindqvist, pkt 83).
         Należy zatem dokonać rozróżnienia pomiędzy przepisami krajowymi, które przewidują dodatkowe wymogi zmieniające zakres kryterium,
         o którym mowa w art. 7 dyrektywy 95/46, z jednej strony, a przepisami krajowymi, które dokonują zwykłego doprecyzowania jednego
         z tych kryteriów, z drugiej strony. Pierwszy rodzaj przepisów krajowych jest niedozwolony. Tylko w ramach drugiego rodzaju
         przepisów krajowych państwa członkowskie dysponują, na mocy art. 5 dyrektywy 95/46, zakresem swobodnego uznania.
      
      36      Co za tym idzie, na mocy art. 5 dyrektywy 95/46 państwa członkowskie nie mogą również wprowadzać innych kryteriów legalności
         przetwarzania danych osobowych niż kryteria ustanowione w art. 7 tej dyrektywy, ani też modyfikować, za pomocą dodatkowych
         wymogów, zakresu sześciu kryteriów przewidzianych we wspomnianym artykule.
      
      37      Artykuł 7 lit. f) dyrektywy 95/46 stanowi, że przetwarzanie danych osobowych jest legalne, jeżeli „konieczne dla [realizacji]
         potrzeb wynikających z uzasadnionych interesów administratora danych lub osoby trzeciej, lub osobom [lub osób trzecich], którym
         dane są ujawniane, z wyjątkiem sytuacji, kiedy interesy takie podporządkowane są interesom związanym z podstawowymi prawami
         i wolnościami osoby, której dane dotyczą, które gwarantują ochronę na podstawie art. 1 ust. 1 [z wyjątkiem sytuacji, kiedy
         pierwszeństwo mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony zgodnie z art. 1
         ust. 1]”.
      
      38      Przytoczony art. 7 lit. f) zawiera dwie kumulatywne przesłanki legalności przetwarzania danych osobowych, a mianowicie, po
         pierwsze, wymóg, by przetwarzanie było konieczne dla realizacji potrzeb wynikających z uzasadnionych interesów administratora
         danych lub osoby trzeciej lub osób trzecich, którym dane są ujawniane, a po drugie, wymóg, by pierwszeństwa nie znajdowały
         podstawowe prawa i wolności osoby, której dane dotyczą.
      
      39      Wynika z tego, że jeśli chodzi o przetwarzanie danych osobowych, art. 7 lit. f) dyrektywy 95/46 stoi na przeszkodzie przepisom
         krajowym, które w braku zgody osoby, której dotyczą dane, nakładają, poza dwoma kumulatywnymi przesłankami wymienionymi w poprzednim
         punkcie, dodatkowe wymogi.
      
      40      Niemniej należy mieć na uwadze okoliczność, że druga z tych przesłanek wymaga wyważenia przeciwstawnych w sprawie praw i interesów,
         które zależy co do zasady od konkretnych okoliczności indywidualnego przypadku i w ramach którego osoba lub instytucja dokonująca
         wyważenia musi brać pod uwagę doniosłość praw osoby, której dane dotyczą, wynikających z art. 7 i 8 Karty praw podstawowych
         Unii Europejskiej (zwanej dalej „kartą”).
      
      41      W tym względzie należy zauważyć, że art. 8 ust. 1 karty stanowi, że „[k]ażda ma prawo do ochrony danych osobowych, które go
         dotyczą”. To prawo podstawowe jest ściśle związane z prawem do poszanowania życia prywatnego ustanowionym w art. 7 karty (wyrok
         z dnia 9 listopada 2010 r. w sprawach połączonych C‑92/09 i C‑93/09 Volker und Markus Schecke i Eifert, Zb.Orz. s. I‑11063,
         pkt 47).
      
      42      Zgodnie z orzecznictwem Trybunału poszanowanie życia prywatnego w kontekście przetwarzania danych osobowych, uznane w art. 7
         i 8 karty, odnosi się do wszelkich informacji dotyczących zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej
         (zob. ww. wyrok w sprawach połączonych Volker und Markus Schecke i Eifert, pkt 52). Niemniej z art. 8 ust. 2 i art. 52 ust. 1
         karty wynika, że pod pewnymi warunkami prawo to może podlegać ograniczeniom.
      
      43      Ponadto przy transpozycji dyrektywy 95/46 na państwach członkowskich ciąży obowiązek oparcia się na takiej wykładni tej dyrektywy,
         która pozwoli im na zapewnienie odpowiedniej równowagi między poszczególnymi podstawowymi prawami i wolnościami chronionymi
         przez porządek prawny Unii (zob. analogicznie wyrok z dnia 29 stycznia 2008 r. w sprawie C‑275/06 Promusicae, Zb.Orz. s. I‑271,
         pkt 68).
      
      44      Co się tyczy ważenia niezbędnego na mocy art. 7 lit. f) dyrektywy 95/46, możliwe jest uwzględnienie faktu, że powaga naruszenia
         praw podstawowych osoby, której przetwarzanie dotyczy, może różnić się w zależności od tego, czy sporne dane figurują już
         w powszechnie dostępnych źródłach.
      
      45      W odróżnieniu bowiem od przetwarzania danych zawartych w powszechnie dostępnych źródłach, przetwarzanie danych zawartych w źródłach,
         które nie są dostępne publicznie, oznacza jednoznacznie, że informacje o życiu prywatnym osoby, której dane dotyczą, będą
         odtąd znane administratorowi danych, oraz, w stosownym przypadku, osobie trzeciej lub osobom trzecim, którym dane są ujawniane.
         Temu naruszeniu o większej wadze praw osoby, której dane dotyczą, wyrażonych w art. 7 i 8 karty, należy nadać odpowiednie
         znaczenie, kładąc je na szali z potrzebą wynikającą z uzasadnionego interesu realizowaną przez administratora danych lub osobę
         trzecią lub osoby trzecie, którym dane są ujawniane.
      
      46      Należy podkreślić w tym względzie, że nic nie stoi na przeszkodzie temu, by do celów korzystania z przysługującego im na mocy
         art. 5 dyrektywy 95/46 zakresu swobodnego uznania państwa członkowskie ustanowiły zasady stanowiące wytyczne dla przeprowadzenia
         takiego ważenia.
      
      47      Nie chodzi tu jednakże już o doprecyzowanie w rozumieniu wspomnianego art. 5, jeżeli przepisy krajowe wykluczają w odniesieniu
         do określonych kategorii danych osobowych możliwość ich przetwarzania, określając w stosunku do nich w sposób ostateczny rezultat
         ważenia przeciwstawnych praw i interesów, tym samym nie dopuszczając do innego rezultatu będącego wynikiem szczególnych okoliczności
         konkretnego przypadku.
      
      48      A zatem, bez uszczerbku dla art. 8 dyrektywy 95/46 dotyczącego przetwarzania danych należących do szczególnych kategorii –
         przepisu niebędącego przedmiotem sporu przed sądem odsyłającym – art. 7 lit. f) tej dyrektywy stoi na przeszkodzie temu, by
         państwo członkowskie wykluczyło w sposób kategoryczny i ogólny w odniesieniu do określonych kategorii danych osobowych możliwość
         ich przetwarzania, nie dopuszczając do ważenia przeciwstawnych praw i interesów występujących w indywidualnym przypadku.
      
      49      Mając na względzie całość powyższych rozważań, na pytanie pierwsze należy odpowiedzieć, że art. 7 lit. f) dyrektywy 95/46
         należy interpretować w ten sposób, iż stoi on na przeszkodzie przepisom krajowym, które w braku zgody osoby, której dotyczą
         dane, i celem dopuszczenia przetwarzania jej danych osobowych niezbędnego dla realizacji potrzeb wynikających z uzasadnionych
         interesów administratora danych lub osoby trzeciej lub osób trzecich, którym dane są ujawniane, wymagają, poza poszanowaniem
         podstawowych praw i wolności tej osoby, by dane te były zawarte w powszechnie dostępnych źródłach, wykluczając tym samym w sposób
         kategoryczny i ogólny wszelką możliwość przetwarzania danych niezawartych w takich źródłach.
      
       W przedmiocie pytania drugiego
      50      Za pomocą pytania drugiego sąd odsyłający zmierza w istocie do ustalenia, czy art. 7 lit. f) dyrektywy 95/46 jest bezpośrednio
         skuteczny.
      
      51      W tym względzie należy przypomnieć, że zgodnie z utrwalonym orzecznictwem Trybunału w każdym przypadku, gdy przepisy dyrektywy
         okazują się, ze względu na swoją treść, bezwarunkowe i wystarczająco precyzyjne, jednostki mają prawo powoływać się na nie
         przed sądami krajowymi wobec państwa, zarówno gdy państwo nie dokonało w terminie transpozycji dyrektywy do prawa krajowego,
         jak i gdy dokonana transpozycja jest nieprawidłowa (zob. wyrok z dnia 3 marca 2011 r. w sprawie C‑203/10 Auto Nikolovi, Zb.Orz.
         s. I‑1083, pkt 61 i przytoczone tam orzecznictwo).
      
      52      Należy stwierdzić, że art. 7 lit. f) dyrektywy 95/46 jest przepisem dostatecznie precyzyjnym, by jednostka mogła się na niego
         powoływać i by mógł być on stosowany przez sądy krajowe. Ponadto, o ile dyrektywa 95/46 bezsprzecznie przyznaje państwom członkowskim
         mniej lub bardziej szeroki zakres uznania dotyczący wdrażania niektórych jej przepisów, o tyle art. 7 lit. f) jako taki przewiduje
         obowiązek bezwarunkowy (zob. analogicznie ww. wyrok w sprawie Österreichischer Rundfunk i in., pkt 100).
      
      53      Użycie wyrażenia „z wyjątkiem [sytuacji]” w samym brzmieniu art. 7 lit. f) dyrektywy 95/46 samo w sobie nie podważa bezwarunkowego
         charakteru tego przepisu, w rozumieniu przytoczonego orzecznictwa.
      
      54      Wspomniane wyrażenie ma bowiem na celu ustanowienie jednej z dwóch kumulatywnych przesłanek przewidzianych w art. 7 lit. f)
         dyrektywy 95/46, od których spełnienia uzależniona jest dopuszczalność przetwarzania danych osobowych bez zgody osoby, której
         dane dotyczą. Jako że przesłanka ta została zdefiniowana, nie pozbawia ona art. 7 lit. f) jego precyzyjnego i bezwarunkowego
         charakteru.
      
      55      Na pytanie drugie należy więc odpowiedzieć, że art. 7 lit. f) dyrektywy 95/46 jest bezpośrednio skuteczny.
      
       W przedmiocie kosztów
      56      Dla stron postępowania przed sądem krajowym niniejsze postępowanie ma charakter incydentalny, dotyczy bowiem kwestii podniesionej
         przed tym sądem, do niego zatem należy rozstrzygnięcie o kosztach. Koszty poniesione w związku z przedstawieniem uwag Trybunałowi,
         inne niż poniesione przez strony postępowania przed sądem krajowym, nie podlegają zwrotowi.
      
      Z powyższych względów Trybunał (trzecia izba) orzeka, co następuje:
      1)      Artykuł 7 lit. f) dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób
            fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych należy interpretować w ten sposób,
            iż stoi on na przeszkodzie przepisom krajowym, które w braku zgody osoby, której dotyczą dane, i celem dopuszczenia przetwarzania
            jej danych osobowych niezbędnego dla realizacji potrzeb wynikających z uzasadnionych interesów administratora danych lub osoby
            trzeciej lub osób trzecich, którym dane są ujawniane, wymagają, poza poszanowaniem podstawowych praw i wolności tej osoby,
            by dane te były zawarte w powszechnie dostępnych źródłach, wykluczając tym samym w sposób kategoryczny i ogólny wszelką możliwość
            przetwarzania danych niezawartych w takich źródłach.
      2)      Artykuł 7 lit. f) dyrektywy 95/46 jest bezpośrednio skuteczny.
      Podpisy
      * Język postępowania: hiszpański.