CELEX: 62009CJ0092
Language: pl
Date: 2010-11-09
Title: Wyrok Trybunału (wielka izba) z dnia 9 listopada 2010 r.#Volker und Markus Schecke GbR (C-92/09) i Hartmut Eifert (C-93/09) przeciwko Land Hessen.#Wnioski o wydanie orzeczenia w trybie prejudycjalnym: Verwaltungsgericht Wiesbaden - Niemcy.#Ochrona osób fizycznych w zakresie przetwarzania danych osobowych - Publikacja informacji na temat beneficjentów dopłat rolnych - Ważność przepisów prawa Unii przewidujących taką publikację i jej formę - Karta praw podstawowych - Artykuł 7 i 8 - Dyrektywa 95/46/WE - Wykładnia art. 18 i 20.#Sprawy połączone C-92/09 oraz C-93/09.

Sprawy połączone C‑92/09 i C‑93/09
      Volker und Markus Schecke GbR
      i
      Hartmut Eifert
      przeciwko
      Land Hessen
      (wnioski o wydanie orzeczenia w trybie prejudycjalnym złożone przez Verwaltungsgericht Wiesbaden)
      Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Publikacja informacji na temat beneficjentów dopłat rolnych – Ważność przepisów prawa Unii przewidujących taką publikację i jej formę – Karta praw podstawowych Unii Europejskiej – Artykuły 7 i 8 – Dyrektywa 95/46/WE – Wykładnia art. 18 i 20
      Streszczenie wyroku
      1.        Prawa podstawowe – Poszanowanie życia prywatnego – Ochrona danych osobowych – Artykuły 7 i 8 Karty praw podstawowych Unii
            Europejskiej – Zakres stosowania
      (Karta praw podstawowych Unii Europejskiej, art. 7, 8)
      2.        Prawa podstawowe – Poszanowanie życia prywatnego – Ochrona danych osobowych – Ograniczenia – Przesłanki
      (Karta praw podstawowych Unii Europejskiej, art. 7, 8, art. 52 ust. 1)
      3.        Rolnictwo – Wspólna polityka rolna – Finansowanie przez EFRG i EFRROW – Rozporządzenia nr 1290/2005, nr 259/2008 – Obowiązkowa
            publikacja danych osobowych dotyczących osób fizycznych będących beneficjentami pomocy z EFRG i EFRROW
      (Karta praw podstawowych Unii Europejskiej, art. 7, 8; rozporządzenia: Rady nr 1290/2005, art. 42 pkt 8b, art. 44a; Komisji
            nr 259/2008)
      4.        Pytania prejudycjalne – Ocena ważności – Stwierdzenie nieważności rozporządzeń wprowadzających obowiązek publikacji danych
            osobowych dotyczących beneficjentów pomocy z EFRG i EFRROW – Skutki – Ograniczenie w czasie
      (art. 264 akapit drugi TFUE, art. 267 TFUE)
      5.        Zbliżanie ustawodawstw – Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Dyrektywa 95/46 – Obowiązek zawiadomienia
            organu kontrolnego – Odstępstwo
      (dyrektywa 95/46 Parlamentu Europejskiego i Rady, art. 18 ust. 2 tiret drugie)
      6.        Zbliżanie ustawodawstw – Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Dyrektywa 95/46 – Kontrole wstępne
      (dyrektywa 95/46 Parlamentu Europejskiego i Rady, art. 20)
      1.        Poszanowanie życia prywatnego w kontekście przetwarzania danych osobowych, uznane w art. 7 i 8 karty praw podstawowych Unii
         Europejskiej, odnosi się do wszelkich informacji dotyczących zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej.
         Osoby prawne mogą się zatem powoływać na ochronę art. 7 i 8 karty tylko wtedy, gdy nazwa oficjalna osoby prawnej identyfikuje
         jedną lub więcej osób fizycznych. Ma to miejsce gdy nazwa oficjalna spółki identyfikuje bezpośrednio osoby fizyczne, które
         są jej wspólnikami.
      
      (por. pkt 52-54)
      2.        Artykuł 52 ust. 1 karty praw podstawowych Unii Europejskiej dopuszcza wprowadzenie ograniczeń w wykonywaniu praw takich jak
         ustanowione w art. 7 i 8 karty, o ile przewidziane są one ustawą, szanują istotę tych praw i wolności oraz z zastrzeżeniem
         zasady proporcjonalności są konieczne i rzeczywiście odpowiadają celom interesu ogólnego uznanym przez Unię lub potrzebom
         ochrony praw i wolności innych osób. Owe ograniczenia prawa do ochrony danych osobowych mogą być uzasadnione, jeżeli odpowiadają
         tym, które są tolerowane w ramach art. 8 europejskiej konwencji praw człowieka. 
      
      (por. pkt 52, 65)
      3.        Stwierdza się nieważność art. 42 pkt 8b i art. 44a rozporządzenia nr 1290/2005 w sprawie finansowania wspólnej polityki rolnej,
         zmienionego rozporządzeniem nr 1437/2007, oraz rozporządzenia nr 259/2008 ustanawiającego szczegółowe zasady stosowania rozporządzenia
         nr 1290/2005 w zakresie publikowania informacji na temat beneficjentów środków pochodzących z Europejskiego Funduszu Rolniczego
         Gwarancji (EFRG) i Europejskiego Funduszu Rolnego na rzecz Rozwoju Obszarów Wiejskich (EFRROW) w zakresie, w jakim w odniesieniu
         do osób fizycznych będących beneficjentami pomocy z EFRG i EFRROW przepisy te wymagają publikacji danych osobowych dotyczących
         każdego beneficjenta, bez wprowadzenia rozróżnienia według odpowiednich kryteriów, takich jak okresy, w których otrzymali
         tę pomoc, jej częstość czy też rodzaj i wysokość.
      
      W istocie kwoty, które beneficjenci otrzymują z EFRG i EFRROW, stanowią – często znaczną – część ich przychodów a publikacja
         na stronie internetowej imiennych danych dotyczących zainteresowanych beneficjentów i dokładnych kwot przez nich otrzymanych
         stanowi z tego względu, że dane te stają się dostępne osobom trzecim, ingerencję w ich życie prywatne w rozumieniu art. 7
         karty praw podstawowych Unii Europejskiej. W tym względzie nie ma znaczenia, że publikowane dane są związane z działalnością
         zawodową. Ponadto publikacja wymagana w art. 44a rozporządzenia nr 1290/2005 i rozporządzeniu nr 259/2008 stanowi przetwarzanie
         danych osobowych objęte art. 8 ust. 2 wspomnianej karty. Ponadto okoliczność, że beneficjenci zostali poinformowani o obowiązku
         publikacji danych ich dotyczących nie wpływa na kwestionowanie samego wystąpienia ingerencji w ich życie prywatne ponieważ
         art. 42 pkt 8b rozporządzenia nr 1290/2005 i art. 4 ust. 1 rozporządzenia nr 259/2008, które ograniczają się do ustanowienia,
         że beneficjenci pomocy będą wcześniej informowani o publikacji dotyczących ich danych, nie zmierzają do oparcia wprowadzonego
         przez nie przetwarzania danych osobowych na zgodzie wspomnianych beneficjentów. 
      
      Takie naruszenie nie jest uzasadnione w świetle art. 52 ust. 1 karty praw podstawowych Unii Europejskiej. W istocie wprawdzie
         w demokratycznym społeczeństwie podatnicy mają prawo do informacji o wykorzystaniu wydatków publicznych, niemniej odpowiednie
         wyważenie różnych podlegających uwzględnieniu interesów wymagało przed przyjęciem omawianych przepisów, zweryfikowania przez
         odpowiednie instytucje, czy publikacja poprzez stronę internetową, jedną na każde państwo członkowskie i swobodnie dostępną,
         imiennych danych dotyczących wszystkich zainteresowanych beneficjentów i dokładnych kwot pochodzących z EFRG i EFRROW otrzymanych
         przez każdego z nich – bez rozróżnienia w zależności od okresu, częstości lub rodzaju i wysokości otrzymanej pomocy – nie
         wykraczała poza to, co było konieczne dla realizacji zasadnie zamierzonych celów, mając na względzie w szczególności powodowane
         przez taką publikację naruszenie praw przyznanych w art. 7 i 8 karty. W tym względzie celowi przejrzystości nie można przyznać
         automatycznego pierwszeństwa przed prawem do ochrony danych osobowych, nawet jeżeli w grę wchodzą istotne interesy ekonomiczne.
         Ponieważ nie okazuje się by instytucje dokonały takiego odpowiedniego wyważenia celów art. 44a rozporządzenia nr 1290/2005
         i rozporządzenia nr 259/2008 i praw przyznanych osobom fizycznym w art. 7 i 8 karty, z uwagi na to, że ograniczenia ochrony
         danych osobowych powinny ograniczać się do tego, co absolutnie konieczne i że możliwe są środki, które słabiej ingerują w to
         prawo podstawowe osób fizycznych, a jednocześnie w skuteczny sposób przyczyniają się do realizacji celów rozpatrywanego uregulowania
         Unii, nakazując publikację nazwisk wszystkich osób fizycznych będących beneficjentami pomocy z EFRG i EFRROW oraz dokładnych
         kwot otrzymywanych przez nie, Rada i Komisja przekroczyły granice, które wyznacza poszanowanie zasady proporcjonalności.
      
      Natomiast jeżeli chodzi o osoby prawne będące beneficjentami pomocy z EFRG i EFRROW, w zakresie, w jakim mogą one powoływać
         się na prawa przyznane w art. 7 i 8 karty, należy uznać, że obowiązek publikacji wynikający z art. 42 pkt 8b i art. 44a rozporządzenia
         nr 1290/2005, oraz z rozporządzenia nr 259/2008, nie przekracza granic, które wyznacza poszanowanie zasady proporcjonalności.
         Waga naruszenia prawa do ochrony danych osobowych jest bowiem inna w przypadku osób prawnych i w przypadku osób fizycznych.
         W tym względzie osoby prawne podlegają już szerszemu obowiązkowi publikacji danych ich dotyczących. Poza tym obowiązek zbadania
         przez organy krajowe przed publikacją omawianych danych w odniesieniu do każdej osoby prawnej będącej beneficjentem pomocy
         z EFRG lub EFRROW, czy jej nazwa wskazuje osoby fizyczne, nakładałby na właściwe organy krajowe nadmierne obciążenie administracyjne.
      
      (por. pkt 58-61, 63, 65, 79, 85-87, 89, 92; pkt 1 sentencji)
      4.        Jeśli jest to uzasadnione nadrzędnymi względami pewności prawa, Trybunał Sprawiedliwości dysponuje na podstawie art. 264 akapit
         drugi TFUE, który przez analogię ma zastosowanie również w ramach odesłania prejudycjalnego dotyczącego oceny ważności aktów
         Unii na podstawie art. 267 TFUE, uprawnieniem do wskazania w każdym konkretnym przypadku skutków danego aktu, które powinny
         być uważane za ostateczne.
      
      W wypadku wyroku stwierdzającego nieważność art. 42 pkt 8b i art. 44a rozporządzenia nr 1290/2005 w sprawie finansowania wspólnej
         polityki rolnej, zmienionego rozporządzeniem nr 1437/2007, oraz rozporządzenia nr 259/2008 ustanawiającego szczegółowe zasady
         stosowania rozporządzenia nr 1290/2005 w zakresie publikowania informacji na temat beneficjentów środków pochodzących z Europejskiego
         Funduszu Rolniczego Gwarancji (EFRG) i Europejskiego Funduszu Rolnego na rzecz Rozwoju Obszarów Wiejskich (EFRROW), i biorąc
         pod uwagę wysoką uznanej za ważną liczbę publikacji, których dokonano w państwach członkowskich na podstawie uregulowania,
         stwierdzona nieważność danych przepisów nie pozwala na kwestionowanie skutków publikacji wykazów beneficjentów pomocy z EFRG
         i EFRROW dokonanej przez organy krajowe na podstawie tych przepisów w okresie przed dniem wydania wyroku.
      
      (por. pkt 93, 94; pkt 2 sentencji)
      5.        Artykuł 18 ust. 2 tiret drugie dyrektywy 95/46 w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych
         i swobodnego przepływu tych danych należy interpretować w ten sposób, że nie nakłada on na urzędnika do spraw ochrony danych
         osobowych obowiązku prowadzenia rejestru przewidzianego w tym przepisie przed rozpoczęciem przetwarzania danych osobowych
         w rozumieniu art. 42 pkt 8b i art. 44a rozporządzenia nr 1290/2005 w sprawie finansowania wspólnej polityki rolnej, zmienionego
         rozporządzeniem nr 1437/2007, oraz rozporządzenia nr 259/2008 ustanawiającego szczegółowe zasady stosowania rozporządzenia
         nr 1290/2005 w zakresie publikowania informacji na temat beneficjentów środków pochodzących z Europejskiego Funduszu Rolniczego
         Gwarancji (EFRG) i Europejskiego Funduszu Rolnego na rzecz Rozwoju Obszarów Wiejskich (EFRROW).
      
      (por. pkt 101; pkt 3 sentencji)
      6.        Artykuł 20 dyrektywy 95/46 w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu
         tych danych, należy interpretować w ten sposób, iż nie zobowiązuje on państw członkowskich do tego, by poddawały przewidzianej
         w tym przepisie kontroli wstępnej publikację informacji wynikającą z art. 42 pkt 8b i art. 44a rozporządzenia nr 1290/2005
         w sprawie finansowania wspólnej polityki rolnej, zmienionego rozporządzeniem nr 1437/2007, oraz rozporządzenia nr 259/2008
         ustanawiającego szczegółowe zasady stosowania rozporządzenia nr 1290/2005 w zakresie publikowania informacji na temat beneficjentów
         środków pochodzących z Europejskiego Funduszu Rolniczego Gwarancji (EFRG) i Europejskiego Funduszu Rolnego na rzecz Rozwoju
         Obszarów Wiejskich (EFRROW).
      
      (por. pkt 108; pkt 4 sentencji)
WYROK TRYBUNAŁU (wielka izba)
      z dnia 9 listopada 2010 r.(*)
      
      Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Publikacja informacji na temat beneficjentów dopłat rolnych – Ważność przepisów prawa Unii przewidujących taką publikację i jej formę – Karta praw podstawowych Unii Europejskiej – Artykuły 7 i 8 – Dyrektywa 95/46/WE – Wykładnia art. 18 i 20
      W sprawach połączonych C‑92/09 i C‑93/09
      mających za przedmiot wnioski o wydanie, na podstawie art. 234 WE, orzeczenia w trybie prejudycjalnym, złożone przez Verwaltungsgericht
         Wiesbaden (Niemcy) postanowieniami z dnia 27 lutego 2009 r., które wpłynęły do Trybunału w dniu 6 marca 2009 r., w postępowaniach:
      
      Volker und Markus Schecke GbR (C‑92/09),
      
      Hartmut Eifert (C‑93/09)
      
      przeciwko
      Land Hessen,
      przy udziale:
      Bundesanstalt für Landwirtschaft und Ernährung,
      TRYBUNAŁ (wielka izba),
      w składzie: V. Skouris, prezes, A. Tizzano, J.N. Cunha Rodrigues, K. Lenaerts (sprawozdawca), J.C. Bonichot, K. Schiemann,
         A. Arabadjiev, J.J. Kasel, prezesi izb, E. Juhász, C. Toader i M. Safjan, sędziowie,
      
      rzecznik generalny: E. Sharpston,
      sekretarz: B. Fülöp, administrator,
      uwzględniając procedurę pisemną i po przeprowadzeniu rozprawy w dniu 2 lutego 2010 r.,
      rozważywszy uwagi przedstawione:
      –        w imieniu Volker und Markus Schecke GbR przez R. Seimetza i P. Breyera, Rechtsanwälte, oraz przez V. Scheckego,
      –        w imieniu H. Eiferta przez R. Seimetza i P. Breyera, Rechtsanwälte,
      –        w imieniu Land Hessen przez H.G. Kamanna, Rechtsanwalt,
      –        w imieniu rządu greckiego przez V. Kontolaimosa i I. Chalkiasa oraz przez K. Marinou i V. Karrę, działających w charakterze
         pełnomocników,
      
      –        w imieniu rządu niderlandzkiego przez C. Wissels i Y. de Vriesa, działających w charakterze pełnomocników,
      –        w imieniu rządu szwedzkiego przez A. Falk i C. Meyer‑Seitz, działające w charakterze pełnomocników,
      –        w imieniu Rady Unii Europejskiej przez E. Sitbon i Z. Kupčovą, działających w charakterze pełnomocników,
      –        w imieniu Komisji Europejskiej przez B. Smuldersa i F. Erlbachera oraz przez P. Costę de Oliveirę, działających w charakterze
         pełnomocników,
      
      po zapoznaniu się z opinią rzecznika generalnego na posiedzeniu w dniu 17 czerwca 2010 r.,
      wydaje następujący
      Wyrok
      1        Wnioski o wydanie orzeczenia w trybie prejudycjalnym dotyczą wykładni z jednej strony art. 42 pkt 8b oraz art. 44a rozporządzenia
         Rady (WE) nr 1290/2005 z dnia 21 czerwca 2005 r. w sprawie finansowania wspólnej polityki rolnej (Dz.U. L 209, s. 1), zmienionego
         rozporządzeniem Rady (WE) nr 1437/2007 z dnia 26 listopada 2007 r. (Dz.U. L 322, s. 1) (zwanego dalej „rozporządzeniem nr 1290/2005”),
         oraz z drugiej strony rozporządzenia Komisji (WE) nr 259/2008 z dnia 18 marca 2008 r. ustanawiającego szczegółowe zasady stosowania
         rozporządzenia Rady (WE) nr 1290/2005 w zakresie publikowania informacji na temat beneficjentów środków pochodzących z Europejskiego
         Funduszu Rolniczego Gwarancji (EFRG) i Europejskiego Funduszu Rolnego na rzecz Rozwoju Obszarów Wiejskich (EFRROW) (Dz.U.
         L 76, s. 28) i dyrektywy 2006/24/WE Parlamentu Europejskiego i Rady z dnia 15 marca 2006 r. w sprawie zatrzymywania generowanych
         lub przetwarzanych danych w związku ze świadczeniem ogólnie dostępnych usług łączności elektronicznej lub udostępnianiem publicznych
         sieci łączności oraz zmieniającej dyrektywę 2002/58/WE (Dz.U. L 105, s. 54). Na wypadek gdyby Trybunał nie stwierdził nieważności
         powyższych uregulowań unijnych, wnioski o wydanie orzeczenia w trybie prejudycjalnym dotyczą również wykładni art. 7, art. 18
         ust. 2 tiret drugie i art. 20 dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie
         ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.U. L 281, s. 31).
      
      2        Wnioski te zostały złożone w ramach sporów między Volker und Markus Schecke GbR oraz H. Eifertem (zwanymi dalej „skarżącymi
         w postępowaniu przed sądem krajowym”) a krajem związkowym Hesja w przedmiocie publikacji na stronie internetowej Bundesanstalt
         für Landwirtschaft und Ernährung (federalnego instytutu rolnictwa i wyżywienia, zwanego dalej „Bundesanstalt”) danych osobowych
         dotyczących ich jako beneficjentów środków pochodzących z EFRG lub EFRROW.
      
      I –  Ramy prawne
      A –  Europejska Konwencja o ochronie praw człowieka i podstawowych wolności
      3        Artykuł 8 europejskiej Konwencji o ochronie praw człowieka i podstawowych wolności podpisanej w Rzymie w dniu 4 listopada
         1950 r. (zwanej dalej „EKPC”), zatytułowany „Prawo do poszanowania życia prywatnego i rodzinnego”, stanowi:
      
      „1.      Każdy ma prawo do poszanowania swojego życia prywatnego i rodzinnego, swojego mieszkania i swojej korespondencji.
      2.      Niedopuszczalna jest ingerencja władzy publicznej w korzystanie z tego prawa, z wyjątkiem przypadków przewidzianych przez
         ustawę i koniecznych w demokratycznym społeczeństwie z uwagi na bezpieczeństwo państwowe, bezpieczeństwo publiczne lub dobrobyt
         gospodarczy kraju, ochronę porządku i zapobieganie przestępstwom, ochronę zdrowia i moralności lub ochronę praw i wolności
         innych osób”.
      
      B –  Prawo Unii
      1.     Dyrektywa 95/46
      4        Z art. 1 ust. 1 dyrektywy 95/46 wynika, że ma ona na celu zapewnienie ochrony podstawowych praw i wolności osób fizycznych,
         w szczególności ich prawa do prywatności, w odniesieniu do przetwarzania danych osobowych. Zgodnie z art. 2 lit. a) tej dyrektywy
         dane osobowe oznaczają „wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej”.
      
      5        Zgodnie z art. 7 wspomnianej dyrektywy „[p]aństwa członkowskie zapewniają, że dane osobowe mogą być przetwarzane tylko wówczas,
         gdy:
      
      a)      osoba, której dane dotyczą, jednoznacznie wyraziła na to zgodę; lub
      […]
      c)      przetwarzanie danych jest konieczne dla wykonania zobowiązania prawnego, któremu administrator danych podlega;
      lub
      […]
      e)      przetwarzanie danych jest konieczne dla realizacji zadania wykonywanego w interesie publicznym lub dla wykonywania władzy
         publicznej przekazanej administratorowi danych lub osobie trzeciej, przed którą ujawnia się dane;
      
      […]”.
      6        Zgodnie z art. 18 ust. 1 dyrektywy 95/46 „[p]aństwa członkowskie zobowiązują administratora danych lub jego ewentualnego przedstawiciela
         do zawiadomienia organu nadzorczego [kontrolnego], wymienionego w art. 28, przed przeprowadzeniem całościowej lub częściowej
         operacji automatycznego przetwarzania”.
      
      7        Artykuł 18 ust. 2 tiret drugie dyrektywy 95/46 stanowi, że państwa członkowskie mogą wprowadzić uproszczenie procedury lub
         zwolnienie z obowiązku zawiadomienia tylko w następujących sytuacjach oraz na następujących warunkach:
      
      „jeżeli administrator danych, zgodnie z dotyczącymi go przepisami krajowymi, powoła urzędnika do spraw ochrony danych osobowych,
         odpowiedzialnego w szczególności:
      
      –        za zapewnienie w niezależny sposób wewnętrznego stosowania przepisów prawa krajowego przyjętych na mocy niniejszej dyrektywy,
      –        za prowadzenie rejestru operacji przetwarzania danych wykonywanych przez administratora danych i zawierających informacje
         określone w art. 21 ust. 2,
      
      zapewniając przy tym, że nie zostaną naruszone prawa i wolności osób, których dane dotyczą”.
      8        Artykuł 19 ust. 1 dyrektywy 95/46 stanowi:
      
      „Państwa członkowskie ustalają, jakie informacje zostaną podane w zawiadomieniu. Obejmują one co najmniej:
      a)      nazwę (nazwisko) i adres administratora danych i ewentualnie jego przedstawiciela;
      b)      cel lub cele przetwarzania danych;
      c)      opis kategorii osób, których dane dotyczą, oraz danych lub kategorii danych, które się do nich odnoszą;
      d)      odbiorcę lub kategorie odbiorców, którym dane mogą być ujawnione;
      e)      propozycje przekazania danych do państw trzecich;
      […]”.
      9        Artykuł 20 dyrektywy 95/46, zatytułowany „Kontrola wstępna”, przewiduje w ust. 1 i 2:
      
      „1.      Państwa członkowskie definiują operacje przetwarzania danych mogące stwarzać określone [szczególne] zagrożenia dla praw i wolności
         osób, których dane dotyczą, oraz kontrolują, czy dane te są badane przed ich rozpoczęciem.
      
      2.      Kontrole wstępne są przeprowadzane przez organ nadzorczy [kontrolny] po przyjęciu od administratora danych lub urzędnika odpowiedzialnego
         za ochronę danych zawiadomienia, którzy w razie wątpliwości powinni zasięgać opinii organu [kontrolnego]”.
      
      10      Zgodnie z art. 21 ust. 2 akapity pierwszy i drugi dyrektywy 95/46 „[p]aństwa członkowskie zapewniają, aby organ [kontrolny]
         prowadził rejestr operacji przetwarzania danych zgłoszonych zgodnie z art. 18 […] [, który] zawiera co najmniej informacje
         wymienione w art. 19 ust. 1 lit. a)–e)”.
      
      11      Zgodnie z art. 28 dyrektywy 95/46 każde państwo członkowskie zobowiązane jest wyznaczyć co najmniej jeden organ władzy publicznej
         (zwany dalej „organem kontrolnym”) odpowiedzialny za kontrolę, w sposób całkowicie niezależny, stosowania na jego terytorium
         przepisów krajowych przyjętych w wykonaniu tej dyrektywy.
      
      2.     Rozporządzenie nr 45/2001
      12      Rozporządzenie (WE) nr 45/2001 Parlamentu Europejskiego i Rady z dnia 18 grudnia 2000 r. o ochronie osób fizycznych w związku
         z przetwarzaniem danych osobowych przez instytucje i organy wspólnotowe i o swobodnym przepływie takich danych (Dz.U. 2001,
         L 8, s. 1) stanowi w art. 27 ust. 1 i 2:
      
      „1.      Operacje przetwarzania, mogące ze swej natury przez swój zakres lub swoje cele stworzyć konkretne [szczególne] zagrożenia
         dla praw i wolności podmiotów danych, podlegają uprzedniemu sprawdzeniu przez Europejskiego Inspektora Ochrony Danych.
      
      2.      Następujące operacje przetwarzania mogą stworzyć takie zagrożenia:
      a)      przetwarzanie danych odnoszących się do zdrowia i dotyczących podejrzeń o popełnienie przestępstwa, przestępstw, wyroków karnych
         lub środków bezpieczeństwa;
      
      b)      operacje przetwarzania zmierzające do oceny aspektów osobistych odnoszących się do podmiotu danych, włącznie z jego możliwościami,
         wydajnością lub postępowaniem;
      
      c)      operacje przetwarzania zezwalające na stworzenie powiązań między danymi przetwarzanymi dla różnych celów, nieuwzględnionymi
         w odpowiednim ustawodawstwie krajowym lub legislacji wspólnotowej;
      
      d)      operacje przetwarzania w celu pozbawienia jednostki prawa, świadczenia lub wyłączenia jej z umowy”.
      3.     Dyrektywa 2006/24
      13      Dyrektywa 2006/24 zobowiązuje państwa członkowskie do zatrzymywania danych generowanych lub przetwarzanych w związku ze świadczeniem
         ogólnie dostępnych usług łączności elektronicznej lub udostępnianiem publicznych sieci łączności.
      
      4.     Rozporządzenie nr 1290/2005
      14      Rozporządzenie nr 1290/2005 określa warunki i zasady mające zastosowanie do finansowania wydatków ponoszonych w ramach wspólnej
         polityki rolnej (zwanej dalej „WPR”).
      
      15      Artykuł 42 rozporządzenia nr 1290/2005 stanowi, że zasady stosowania niniejszego rozporządzenia ustanawia Komisja Europejska.
         Zgodnie z art. 42 pkt 8b tego rozporządzenia Komisja ustala między innymi:
      
      „szczegółowe zasady dotyczące publikowania informacji o beneficjentach, o których mowa w art. 44a, w tym aspekty praktyczne
         związane z ochroną osób w związku z przetwarzaniem ich danych osobowych zgodnie z zasadami określonymi w przepisach wspólnotowych
         dotyczących ochrony danych. Przepisy te powinny zapewnić w szczególności informowanie beneficjentów funduszy o możliwości
         podania tych danych do wiadomości publicznej oraz przetwarzania ich przez organy kontrolne i śledcze w celu ochrony interesów
         finansowych Wspólnot, a także powinny określać, kiedy informacja ta jest przekazywana beneficjentom”.
      
      16      Artykuł 44a rozporządzenia nr 1290/2005, zatytułowany „Publikacja wykazu beneficjentów”, stanowi:
      
      „[…] państwa członkowskie zapewniają coroczną publikację ex post wykazu beneficjentów funduszy EFRG i EFRROW oraz kwot otrzymanych
         przez każdego beneficjenta w ramach każdego z tych funduszy.
      
      Publikacja takiego wykazu obejmuje przynajmniej:
      a)      w odniesieniu do EFRG kwotę podzieloną na płatności bezpośrednie w rozumieniu art. 2 lit. d) rozporządzenia (WE) nr 1782/2003
         i inne wydatki;
      
      b)      w odniesieniu do EFRROW łączną kwotę finansowania ze środków publicznych na beneficjenta”.
      17      W tym kontekście motywy 13 i 14 rozporządzenia nr 1437/2007, zmieniającego rozporządzenie nr 1290/2005, mają brzmienie następujące:
      
      „(13) W celu wprowadzenia w życie europejskiej inicjatywy na rzecz przejrzystości, w ramach przeglądu rozporządzenia Rady (WE, Euratom)
         nr 1605/2002 z dnia 25 czerwca 2002 r. w sprawie rozporządzenia finansowego mającego zastosowanie do budżetu ogólnego Wspólnot
         Europejskich [Dz.U. L 248, s. 1], do rozporządzenia tego dodano przepisy dotyczące corocznej publikacji ex post wykazu beneficjentów
         środków finansowych pochodzących z budżetu. Sposób publikacji takich informacji ma zostać określony w rozporządzeniach dotyczących
         poszczególnych sektorów. Zarówno EFRG, jak i EFRROW stanowią część budżetu ogólnego Wspólnot Europejskich i finansują wydatki
         na zasadzie podziału zarządzania między państwami członkowskimi i Wspólnotą. Należy zatem określić zasady publikowania informacji
         na temat beneficjentów tych funduszy. W związku z tym państwa członkowskie powinny zapewnić coroczną publikację ex post wykazu
         beneficjentów oraz kwot otrzymanych przez każdego beneficjenta w ramach każdego z tych funduszy.
      
      (14)      Udostępnienie tych informacji do publicznej wiadomości zwiększa przejrzystość wykorzystania środków wspólnotowych w ramach
         [WPR] oraz jakość finansowego zarządzania wspomnianymi funduszami, w szczególności przez wzmocnienie publicznej kontroli wykorzystanych
         środków finansowych. Przez wzgląd na nadrzędną wagę wyznaczonych celów uzasadnione jest, przy poszanowaniu zasady proporcjonalności
         i wymogu ochrony danych osobowych, przyjęcie przepisu przewidującego podanie do wiadomości ogólnej stosownych informacji,
         ponieważ nie wykracza on poza to, co jest konieczne w społeczeństwie demokratycznym w celu zapobiegania nieprawidłowościom.
         Uwzględniając opinię Europejskiego Inspektora Ochrony Danych z dnia 10 kwietnia 2007 r. [Dz.U. C 134, s. 1], należy przewidzieć
         sposób informowania beneficjentów funduszy o tym, że takie dane mogą być upubliczniane i że mogą być przetwarzane przez organy
         kontrolne i śledcze”.
      
      5.     Rozporządzenie nr 259/2008
      18      Na podstawie art. 42 pkt 8b rozporządzenia nr 1290/2005 Komisja przyjęła rozporządzenie nr 259/2008.
      
      19      Motyw 6 tego rozporządzenia ma brzmienie następujące:
      
      „Udostępnienie […] informacji [dotyczących beneficjentów środków pochodzących z EFRG i EFRROW] do publicznej wiadomości zwiększa
         przejrzystość wykorzystania środków wspólnotowych w ramach [WPR] oraz jakość finansowego zarządzania wspomnianymi funduszami,
         w szczególności przez wzmocnienie publicznej kontroli wykorzystanych środków finansowych. Przez wzgląd na nadrzędną wagę wyznaczonych
         celów uzasadnione jest, przy poszanowaniu zasady proporcjonalności i wymogu ochrony danych osobowych, przyjęcie przepisu przewidującego
         podanie do wiadomości ogólnej stosownych informacji, ponieważ nie wykracza on poza to, co jest konieczne w społeczeństwie
         demokratycznym do zapobiegania nieprawidłowościom”.
      
      20      W motywie 7 tego rozporządzenia zaznaczono, że „[w] celu spełnienia wymagań dotyczących ochrony danych osobowych beneficjenci
         funduszy powinni być uprzednio poinformowani o możliwości publikacji ich danych”.
      
      21      Artykuł 1 ust. 1 rozporządzenia nr 259/2008 określa treść publikacji, o której mowa w art. 44a rozporządzenia nr 1290/2005,
         i stanowi, że zawarte są w niej następujące informacje:
      
      „a)      imię i nazwisko, jeśli beneficjentem jest osoba fizyczna;
      b)      pełna nazwa oficjalna w formie, w jakiej została zarejestrowana, w przypadku gdy beneficjentem jest osoba prawna;
      c)      pełna nazwa stowarzyszenia w formie, w jakiej została zarejestrowana lub w inny sposób urzędowo uznana, w przypadku gdy beneficjentem
         jest stowarzyszenie osób fizycznych lub prawnych niebędące odrębną osobą prawną;
      
      d)      gmina, na której terenie beneficjent ma miejsce zamieszkania lub siedzibę, oraz, o ile to możliwe, kod pocztowy lub jego część
         pozwalająca na identyfikację gminy;
      
      e)      w odniesieniu do [EFRG] kwota płatności bezpośrednich w rozumieniu art. 2 lit. d) rozporządzenia (WE) nr 1782/2003, jaką każdy
         beneficjent otrzymał w danym roku budżetowym;
      
      f)      w odniesieniu do EFRG kwota płatności innych niż te, o których mowa w lit. e), które beneficjent otrzymał w danym roku budżetowym;
      g)      w odniesieniu do [EFRROW] całkowita kwota finansowania publicznego, jaką każdy beneficjent otrzymał w danym roku budżetowym,
         obejmująca wkład wspólnotowy i krajowy;
      
      h)      suma kwot określonych w lit. e), f) i g) otrzymana przez każdego beneficjenta w danym roku budżetowym;
      i)      waluta tych kwot”.
      22      Zgodnie z art. 2 rozporządzenia nr 259/2008 „[i]nformacje określone w art. 1 są udostępniane na stronie internetowej, po jednej
         na każde państwo członkowskie, pod postacią wyszukiwarki umożliwiającej użytkownikom przeszukiwanie danych w oparciu o kryteria
         takie jak nazwa beneficjenta, gmina, otrzymane kwoty określone w lit. e), f), g) i h) art. 1 lub ich kombinację, oraz wyodrębnienie
         odpowiednich informacji w formie pojedynczego zestawu danych”.
      
      23      Artykuł 3 ust. 3 tego rozporządzenia uściśla, że „[i]nformacje są dostępne na stronie internetowej przez dwa lata od daty
         ich początkowej publikacji”.
      
      24      Artykuł 4 rozporządzenia nr 259/2008 stanowi:
      
      „1.      Państwa członkowskie informują beneficjentów o tym, że ich dane będą publikowane zgodnie z rozporządzeniem (WE) nr 1290/2005
         oraz niniejszym rozporządzeniem, oraz informują ich o możliwości przetwarzania danych przez organy audytowe i dochodzeniowe
         Wspólnot i państw członkowskich dla zabezpieczenia interesów finansowych Wspólnot.
      
      2.      W przypadku danych osobowych informacje określone w ust. 1 są dostarczane zgodnie z wymaganiami dyrektywy 95/46/WE, a beneficjenci
         są informowani o swoich prawach jako podmiot danych na mocy tej dyrektywy oraz o procedurach umożliwiających skorzystanie
         z tych praw.
      
      3.      Informacje określone w ust. 1 i 2 są przekazywane beneficjentom za pośrednictwem formularzy wniosków o dofinansowanie z funduszy
         EFRG i EFRROW lub w momencie zbierania danych.
      
      […]”.
      II –  Postępowania przed sądem krajowym i pytania prejudycjalne
      25      Skarżący w postępowaniu przed sądem krajowym, mający siedzibę lub miejsce zamieszkania w kraju związkowym Hesja, to odpowiednio
         przedsiębiorstwo rolne mające formę prawną spółki prawa cywilnego (sprawa C‑92/09) i rolnik indywidualny (sprawa C‑93/09).
         Z tytułu roku budżetowego 2008 złożyli we właściwym organie lokalnym wnioski o środki pochodzące z EFRG lub EFRROW, które
         zostały uwzględnione decyzjami z dnia 5 grudnia 2008 r. (sprawa C‑93/09) i z dnia 31 grudnia 2008 r. (sprawa C‑92/09).
      
      26      W obu przypadkach formularz wniosku zawierał następującą wzmiankę:
      
      „Przyjmuję do wiadomości, że na podstawie art. 44a rozporządzenia (WE) nr 1290/2005 informacje o beneficjentach środków z EFRG
         i EFRROW i o kwotach przez nich otrzymanych podlegają publikacji. Publikacja obejmuje wszystkie środki będące przedmiotem
         pojedynczego wniosku w rozumieniu art. 11 rozporządzenia (WE) nr 796/2004 i następuje corocznie, najpóźniej w dniu 31 marca
         kolejnego roku”.
      
      27      Sąd krajowy wyjaśnia, że na stronie internetowej Bundesanstalt udostępnia się nazwy lub nazwiska beneficjentów pomocy z EFRG
         lub EFRROW, miejscowości, w której mają siedzibę lub zamieszkują, wraz z jej kodem pocztowym oraz wysokości płatności otrzymanych
         w danym roku. Strona ta wyposażona jest w wyszukiwarkę.
      
      28      W dniach 26 września 2008 r. (sprawa C‑92/09) i 18 grudnia 2008 r. (sprawa C‑93/09) skarżący w postępowaniu przed sądem krajowym
         wnieśli skargi mające na celu uniemożliwienie publikacji dotyczących ich danych. Ich zdaniem publikacja kwot otrzymanych z EFRG
         lub EFRROW nie jest uzasadniona nadrzędnymi interesami publicznymi. Ponadto przepisy odnoszące się do Europejskiego Funduszu
         Socjalnego nie przewidują imiennego wskazywania beneficjentów. W swoich skargach wnoszą o zobowiązanie kraju związkowego Hesji
         do tego, aby zaniechał lub odmówił przekazania lub upublicznienia tych danych do celów ogólnej publikacji informacji dotyczących
         środków finansowych pochodzących z EFRG i EFRROW, które zostały im przyznane.
      
      29      Kraj związkowy Hesja, chociaż uważa, że obowiązek publikacji danych dotyczących skarżących w postępowaniu przed sądem krajowym
         wynika z rozporządzeń nr 1290/2005 i 259/2008, zobowiązał się jednak do nieupubliczniania kwot otrzymanych przez tych skarżących
         jako beneficjentów pomocy z EFRG lub EFRROW do chwili wydania ostatecznego orzeczenia w postępowaniach przed sądem krajowym.
      
      30      Sąd krajowy uznaje, że obowiązek publikacji wynikający z art. 44a rozporządzenia nr 1290/2005 stanowi nieuzasadnione naruszenie
         podstawowego prawa do ochrony danych osobowych. Uważa, że przepis ten, który realizuje cel zwiększenia przejrzystości wykorzystania
         funduszy europejskich, nie wzmacnia zapobiegania nieprawidłowościom, gdyż istnieją służące temu szczegółowe mechanizmy kontroli.
         Opierając się na wyroku z dnia 20 maja 2003 r. w sprawach połączonych C‑465/00, C‑138/01 i C‑139/01 Österreichischer Rundfunk
         i in., Rec. s. I‑4989, sąd krajowy jest zdania, że w każdym razie wspomniany obowiązek publikacji nie jest proporcjonalny
         do zamierzonego celu. Ponadto jego zdaniem art. 42 pkt 8b rozporządzenia nr 1290/2005 przyznaje Komisji zbyt szeroki zakres
         uznania, jeżeli chodzi zarówno o określenie danych podlegających upublicznieniu, jak i sposobu publikacji, i jest tym samym
         niezgodny z art. 202 tiret trzecie WE i art. 211 tiret czwarte WE.
      
      31      Niezależnie od kwestii ważności art. 42 pkt 8b i art. 44a rozporządzenia nr 1290/2005 sąd krajowy uważa, że rozporządzenie
         nr 259/2008, które przewiduje publikację informacji dotyczących beneficjentów pomocy z EFRG i EFRROW wyłącznie w Internecie,
         narusza podstawowe prawo do ochrony danych osobowych. Podkreśla fakt, że to ostatnie rozporządzenie nie ogranicza dostępu
         do danej strony internetowej na rzecz adresów „Internet Protocol” (zwanych dalej „adresami IP”) zlokalizowanych na terytorium
         Unii Europejskiej. Poza tym nie ma możliwości wycofania danych z Internetu po upływie okresu dwóch lat przewidzianego w art. 3
         ust. 3 rozporządzenia nr 259/2008. Zdaniem tego sądu fakt publikacji danych wyłącznie w Internecie ma ponadto efekt odstraszający.
         Z jednej strony obywatele chcący zaczerpnąć informacji muszą mieć dostęp do Internetu. Z drugiej strony obywatele ci wystawiają
         się na ryzyko przechowywania ich danych w rozumieniu dyrektywy 2006/24. Paradoksem jest zmierzanie do większej kontroli nad
         telekomunikacją przy jednoczesnym udostępnianiu jedynie w formie elektronicznej informacji służących udziałowi społeczeństwa
         w sprawach publicznych.
      
      32      Na wypadek gdyby Trybunał nie stwierdził nieważności przepisów przywołanych w pkt 30 i 31 niniejszego wyroku, sąd krajowy
         pragnie jeszcze uzyskać wykładnię różnych przepisów dyrektywy 95/46. Uważa, że publikacja danych osobowych może mieć miejsce
         jedynie wtedy, gdy zostały podjęte środki przewidziane w art. 18 ust. 2 tiret drugie tej dyrektywy. Zgodnie z informacjami
         przekazanymi przez sąd krajowy ustawodawca niemiecki, w szczególności ustawodawca heski, skorzystał z możliwości oferowanej
         przez ten przepis. Niemniej zdaniem tego samego sądu zawiadomienie heskiego ministra środowiska, obszarów wiejskich i ochrony
         konsumentów skierowane do urzędnika do spraw ochrony danych osobowych zostało dokonane w sposób niepełny. Urzędnikowi temu
         nie zostały bowiem przekazane informacje takie jak fakt, że przetwarzania danych dokonuje Bundesanstalt na rachunek wspomnianego
         kraju związkowego, ewentualnie z pomocą prywatnego podmiotu trzeciego, konkretne informacje dotyczące terminów usuwania danych
         oraz dostawców dostępu do sieci i zatrzymywania adresów IP.
      
      33      Ponadto publikację informacji dotyczących beneficjentów dopłat rolnych powinna poprzedzić kontrola wstępna przewidziana w art. 20
         dyrektywy 95/46. Tymczasem zdaniem sądu krajowego w niniejszym przypadku kontrola wstępna nie została przeprowadzona przez
         centralny organ kontroli, lecz przez inspektora ochrony danych odpowiedzialnego przedsiębiorstwa lub administracji i to na
         podstawie niepełnych zawiadomień.
      
      34      W końcu sąd krajowy ma wątpliwości co do legalności w świetle art. 7 lit. e) dyrektywy 95/46 zatrzymywania adresów IP użytkowników,
         którzy sprawdzają informacje dotyczące beneficjentów pomocy z EFRG i EFRROW na stronie internetowej Bundesanstalt.
      
      35      W tych warunkach Verwaltungsgericht Wiesbaden postanowił zawiesić postępowanie i skierować do Trybunału następujące pytania
         prejudycjalne, zredagowane identycznie w sprawie C‑92/09 i C‑93/09:
      
      „1)      Czy art. [42] pkt 8b i art. 44a rozporządzenia […] nr 1290/2005, wprowadzone doń w drodze rozporządzenia […] nr 1437/2007,
         są nieważne?
      
      2)      Czy rozporządzenie […] nr 259/2008 […]:
      a)      jest nieważne,
      b)      ważne, ale tylko dlatego, że dyrektywa 2006/24 […] jest nieważna?
      Jeśli wspomniane w pierwszym i drugim pytaniu przepisy są ważne, to:
      3)      Czy wykładni art. 18 ust. 2 tiret drugie dyrektywy 95/46 […] należy dokonywać w ten sposób, że publikacja na podstawie rozporządzenia
         […] nr 259/2008 może nastąpić dopiero wtedy, gdy przeprowadzone zostanie przewidziane w tym artykule postępowanie, które zastępuje
         zawiadomienie organu kontrolnego?
      
      4)      Czy wykładni art. 20 dyrektywy 95/46 […] należy dokonywać w ten sposób, że publikacja na podstawie rozporządzenia […] nr 259/2008
         może nastąpić dopiero wtedy, gdy została przeprowadzona przewidziana dla takich przypadków w prawie krajowym kontrola wstępna?
      
      5)      W razie udzielenia odpowiedzi twierdzącej na pytanie czwarte: czy wykładni art. 20 dyrektywy 95/46 […] należy dokonywać w ten
         sposób, że kontrola przeprowadzona w oparciu o rejestr, o którym mowa w art. 18 ust. 2 tiret drugie tej dyrektywy, który jednak
         nie zawiera określonej tam informacji, nie może być uznana za kontrolę skuteczną?
      
      6)      Czy wykładni art. 7 – a w niniejszym przypadku w szczególności lit. e) – dyrektywy 95/46 […] należy dokonywać w ten sposób,
         że stoi on na przeszkodzie praktyce polegającej na zatrzymywaniu adresów IP użytkowników strony internetowej bez ich wyraźnej
         zgody?”.
      
      36      Postanowieniem prezesa Trybunału z dnia 4 maja 2009 r. sprawy C‑92/09 i C‑93/09 zostały połączone do celów procedury pisemnej
         i ustnej, jak również do celów wydania wyroku.
      
      III –  W przedmiocie pytań prejudycjalnych
      37      Postanowienia odsyłające zawierają z jednej strony pytania dotyczące ważności rozporządzeń nr 1290/2005 i 259/2008, to jest
         pytania pierwsze i drugie, a z drugiej strony pytania dotyczące wykładni dyrektywy 95/46, to jest pytania od trzeciego do
         szóstego. Przed rozpatrzeniem istoty sprawy należy zbadać dopuszczalność zarówno drugiej części pytania drugiego, jak i pytania
         szóstego.
      
      A –  W przedmiocie dopuszczalności
      38      W drugiej części pytania drugiego i pytaniu szóstym sąd krajowy zwraca się do Trybunału odpowiednio z kwestią ważności dyrektywy
         2006/24 i wykładni art. 7 lit. e) dyrektywy 95/46, aby móc ustalić, czy zatrzymywanie określonych danych dotyczących użytkowników
         stron internetowych przewidziane w prawie Unii i ustawodawstwie niemieckim jest zgodne z prawem.
      
      39      W tym kontekście należy przypomnieć najpierw, że o ile z uwagi na podział kompetencji w ramach postępowania w przedmiocie
         wniosku o wydanie orzeczenia w trybie prejudycjalnym wyłącznie do sądu krajowego należy określenie przedmiotu pytań, które
         zamierza on zadać Trybunałowi, Trybunał orzekł, że w szczególnych okolicznościach to do niego należy ocena warunków, w jakich
         sąd krajowy kieruje do niego wniosek, w celu zweryfikowania własnej kompetencji (wyrok z dnia 1 października 2009 r. w sprawie
         C‑567/07 Woningstichting Sint Servatius, Zb.Orz. s. I‑9021, pkt 42).
      
      40      Tak jest w szczególności, w przypadku gdy problem przedłożony Trybunałowi jest natury hipotetycznej albo gdy wykładnia normy
         unijnej lub ocena jej ważności, o którą wnioskuje sąd krajowy, nie ma żadnego związku z rzeczywistością lub przedmiotem sporu
         w postępowaniu przed sądem krajowym (zob. podobnie wyroki: z dnia 15 grudnia 1995 r. w sprawie C‑415/93 Bosman, Rec. s. I‑4921,
         pkt 61; z dnia 15 czerwca 2006 r. w sprawie C‑466/04 Acereda Herrera, Zb.Orz. s. I‑5341, pkt 48; z dnia 31 stycznia 2008 r.
         w sprawie C‑380/05 Centro Europa 7, Zb.Orz. s. I‑349, pkt 53; ww. wyrok w sprawie Woningstichting Sint Servatius, pkt 43).
      
      41      Z postanowień odsyłających wynika, że każdy ze skarżących w postępowaniu przed sądem krajowym wniósł do sądu krajowego skargę
         na publikację na podstawie rozporządzeń nr 1290/2005 i 259/2008 dotyczących ich danych. Ich skargi zmierzają do tego, aby
         kraj związkowy Hesja zaniechał lub odmówił przekazania lub publikacji informacji dotyczących dotacji, które otrzymali z EFRG
         i EFRROW.
      
      42      Druga część pytania drugiego i pytanie szóste nie mają związku z przedmiotem sporów przed sądem krajowym. Nie dotyczą one
         bowiem publikacji danych dotyczących beneficjentów dotacji ze wspomnianych funduszy, takich jak skarżący w postępowaniu przed
         sądem krajowym, ale zatrzymywania danych dotyczących osób przeglądających strony internetowe. Ponieważ badanie drugiej części
         pytania drugiego i pytania szóstego nie ma żadnej użyteczności dla rozstrzygnięcia sporu przed sądem krajowym, nie ma potrzeby
         odpowiadania na nie.
      
      B –  Co do istoty
      1.     W przedmiocie pytania pierwszego i pierwszej części pytania drugiego
      a)     Uwagi wstępne
      43      Poprzez pytanie pierwsze i pierwszą część pytania drugiego sąd krajowy zwraca się do Trybunału o zbadanie ważności z jednej
         strony art. 44a rozporządzenia nr 1290/2005 oraz rozporządzenia nr 259/2008 zawierającego szczegółowe zasady stosowania obowiązku
         publikacji ustanowionego w tym art. 44a, a z drugiej strony art. 42 pkt 8b rozporządzenia nr 1290/2005 – przepisu stanowiącego
         podstawę prawną rozporządzenia nr 259/2008.
      
      44      Sąd krajowy stoi na stanowisku, że obowiązek publikacji danych dotyczących beneficjentów pomocy z EFRG i EFRROW, który wynika
         z przepisów przytoczonych w poprzednim punkcie, stanowi nieuzasadnione naruszenie podstawowego prawa do ochrony danych osobowych.
         Odwołuje się w tym względzie zasadniczo do art. 8 EKPC.
      
      45      Należy przypomnieć, że zgodnie z art. 6 ust. 1 TUE Unia uznaje prawa, wolności i zasady określone w Karcie praw podstawowych
         Unii Europejskiej (zwanej dalej „kartą”), która ma taką samą moc prawną jak traktaty.
      
      46      W tych warunkach ważność art. 42 pkt 8b i art. 44a rozporządzenia nr 1290/2005 oraz rozporządzenia nr 259/2008 należy oceniać
         w świetle postanowień karty.
      
      47      W tym kontekście art. 8 ust. 1 karty stanowi, że „[k]ażda osoba ma prawo do ochrony danych osobowych jej dotyczących”. To
         prawo podstawowe jest ściśle związane z prawem do poszanowania życia prywatnego ustanowionym w art. 7 karty.
      
      48      Prawo do ochrony danych osobowych nie stanowi jednak prerogatywy o charakterze absolutnym i powinno być oceniane w świetle
         jego funkcji społecznej (zob. podobnie wyrok z dnia 12 czerwca 2003 r. w sprawie C‑112/00 Schmidberger, Rec. s. I‑5659, pkt 80
         i przytoczone tam orzecznictwo).
      
      49      Artykuł 8 ust. 2 karty zezwala tym sposobem na przetwarzanie danych osobowych, jeżeli spełnione są określone warunki. W tym
         względzie postanowienie to przewiduje, że dane osobowe „muszą być przetwarzane rzetelnie w określonych celach i za zgodą osoby
         zainteresowanej lub na innej uzasadnionej podstawie przewidzianej ustawą”.
      
      50      Ponadto art. 52 ust. 1 karty dopuszcza wprowadzenie ograniczeń w wykonywaniu praw takich jak prawa ustanowione w art. 7 i 8
         karty, o ile przewidziane są one ustawą, szanują istotę tych praw i wolności i z zastrzeżeniem zasady proporcjonalności są
         konieczne i rzeczywiście odpowiadają celom interesu ogólnego uznanym przez Unię lub potrzebom ochrony praw i wolności innych
         osób.
      
      51      W końcu z art. 52 ust. 3 karty wynika, że w zakresie, w jakim zawiera ona prawa, które odpowiadają prawom zagwarantowanym
         w EKPC, ich znaczenie i zakres są takie same jak praw przyznanych przez tę konwencję. Artykuł 53 karty dodaje w tym kontekście,
         że żadne z jej postanowień nie może być interpretowane jako ograniczające lub naruszające prawa uznane w szczególności w EKPC.
      
      52      W tych warunkach należy uznać z jednej strony, że poszanowanie życia prywatnego w kontekście przetwarzania danych osobowych,
         uznane w art. 7 i 8 karty, odnosi się do wszelkich informacji dotyczących zidentyfikowanej lub możliwej do zidentyfikowania
         osoby fizycznej (zob. m.in. wyroki Europejskiego Trybunału Praw Człowieka, zwanego dalej „ETPC”: z dnia 16 lutego 2000 r.
         w sprawie Amann przeciwko Szwajcarii, Recueil des arrêts et décisions, 2000‑II, § 65; z dnia 4 maja 2000 r. w sprawie Rotaru przeciwko Rumunii, Recueil des arrêts et décisions, 2000‑V, § 43), a z drugiej strony, że ograniczenia prawa do ochrony danych osobowych mogą być uzasadnione, jeżeli odpowiadają
         tym, które są tolerowane w ramach art. 8 EKPC.
      
      b)     W przedmiocie ważności art. 44a rozporządzenia nr 1290/2005 i rozporządzenia nr 259/2008
      53      W pierwszej kolejności należy przypomnieć, że publikacja wymagana w art. 44a rozporządzenia nr 1290/2005 i rozporządzeniu
         nr 259/2008 wykonującym ten artykuł wskazuje imiennie wszystkich beneficjentów pomocy z EFRG i EFRROW, wśród których figurują
         jednocześnie osoby fizyczne i prawne. Tymczasem, mając na uwadze to, co zostało stwierdzone w pkt 52 niniejszego wyroku, osoby
         prawne mogą się powoływać na ochronę art. 7 i 8 karty w odniesieniu do takiej identyfikacji tylko wtedy, gdy nazwa oficjalna
         osoby prawnej identyfikuje jedną lub więcej osób fizycznych.
      
      54      Ma to miejsce właśnie w przypadku skarżącej w postępowaniu przed sądem krajowym w sprawie C‑92/09. Nazwa oficjalna tej spółki
         identyfikuje bezpośrednio osoby fizyczne, które są jej wspólnikami.
      
      55      W drugiej kolejności należy sprawdzić, czy art. 44a rozporządzenia nr 1290/2005 i rozporządzenie nr 259/2008 powodują w odniesieniu
         do beneficjentów pomocy z EFRG i EFRROW będących zidentyfikowanymi lub możliwymi do zidentyfikowania osobami fizycznymi (zwanych
         dalej „zainteresowanymi beneficjentami”) naruszenie praw przyznanych im w art. 7 i 8 karty i czy w danym przypadku takie naruszenie
         jest uzasadnione w świetle art. 52 karty.
      
      i)     W przedmiocie naruszenia praw przyznanych w art. 7 i 8 karty
      56      Artykuł 44a rozporządzenia nr 1290/2005 zobowiązuje państwa członkowskie do zapewnienia corocznej publikacji ex post wykazu
         beneficjentów pomocy z EFRG i EFRROW oraz kwot otrzymanych przez każdego beneficjenta w ramach każdego z tych funduszy. Z motywu
         14 rozporządzenia nr 1437/2007, zmieniającego rozporządzenie nr 1290/2005, wynika, że informacje te powinny być podane do
         „wiadomości ogólnej”.
      
      57      Rozporządzenie nr 259/2008 określa w art. 1 ust. 1 lit. d) treść publikacji i przewiduje, że oprócz elementów przytoczonych
         w poprzednim punkcie i innych informacji dotyczących otrzymanej pomocy publikowane są „gmina, na której terenie beneficjent
         ma miejsce zamieszkania lub siedzibę, oraz, o ile to możliwe, kod pocztowy lub jego część pozwalająca na identyfikację gminy”.
         Artykuł 2 wspomnianego rozporządzenia przewiduje, że informacje są publikowane na stronie internetowej, po jednej na każde
         państwo członkowskie, i mogą być przeglądane z pomocą wyszukiwarki.
      
      58      Nie jest kwestionowane, że kwoty, które zainteresowani beneficjenci otrzymują z EFRG i EFRROW, stanowią – często znaczną –
         część ich przychodów. Publikacja na stronie internetowej imiennych danych dotyczących zainteresowanych beneficjentów i dokładnych
         kwot przez nich otrzymanych stanowi z tego względu, że dane te stają się dostępne osobom trzecim, ingerencję w ich życie prywatne
         w rozumieniu art. 7 karty (zob. podobnie ww. wyrok w sprawie Österreichischer Rundfunk i in., pkt 73, 74).
      
      59      W tym względzie nie ma znaczenia, że publikowane dane są związane z działalnością zawodową (zob. ww. wyrok w sprawie Österreichischer
         Rundfunk i in., pkt 73, 74). Europejski Trybunał Praw Człowieka orzekł w tym względzie w odniesieniu do wykładni art. 8 EKPC,
         że termin „życie prywatne” nie może być interpretowany w sposób zawężający oraz że „nic nie uzasadnia wyłączenia działalności
         zawodowej […] z zakresu »życia prywatnego«” (zob. w szczególności ww. wyroki ETPC: w sprawie Amann przeciwko Szwajcarii, § 65;
         w sprawie Rotaru przeciwko Rumunii, § 43).
      
      60      Ponadto publikacja wymagana w art. 44a rozporządzenia nr 1290/2005 i rozporządzeniu nr 259/2008 stanowi przetwarzanie danych
         osobowych objęte art. 8 ust. 2 karty.
      
      61      Kraj związkowy Hesja kwestionuje jednak, by w ogóle miała miejsce ingerencja w życie prywatne skarżących w postępowaniu przed
         sądem krajowym, gdyż zostali oni poinformowani w formularzu wniosku o obowiązkowej publikacji dotyczących ich danych i zgodnie
         z art. 8 ust. 2 karty dali swoją zgodę na tę publikację poprzez złożenie wniosku.
      
      62      W tym względzie należy stwierdzić, że art. 42 pkt 8b rozporządzenia nr 1290/2005 przewiduje jedynie „informowanie beneficjentów
         funduszy o możliwości podania tych danych [tj. ich nazwiska i kwot otrzymanych z każdego z danych funduszy] do wiadomości
         publicznej”. Artykuł 4 ust. 1 rozporządzenia nr 259/2008 zawiera przepis podobny, przewidując, że „[p]aństwa członkowskie
         informują beneficjentów o tym, że ich dane będą publikowane”.
      
      63      Odnośna regulacja unijna, która ogranicza się do ustanowienia, że beneficjenci pomocy będą wcześniej informowani o publikacji
         dotyczących ich danych, nie zmierza więc do oparcia wprowadzonego przez nią przetwarzania danych osobowych na zgodzie zainteresowanych
         beneficjentów. Poza tym należy stwierdzić, że w sprawach przed sądem krajowym skarżący w formularzach wniosku o dopłaty jedynie
         „przyję[li] do wiadomości, że na podstawie art. 44a rozporządzenia nr 1290/2005 informacje o beneficjentach środków z EFRG
         i EFRROW […] podlegają publikacji”.
      
      64      Ze względu na to, że z jednej strony publikacja danych imiennych dotyczących zainteresowanych beneficjentów i dokładnych kwot
         pochodzących z EFRG i EFRROW przez nich otrzymanych stanowi względem tych beneficjentów naruszenie praw przyznanych w art. 7
         i 8 karty i że z drugiej strony takie przetwarzanie danych osobowych nie opiera się na zgodzie zainteresowanych beneficjentów,
         należy zbadać, czy naruszenie to jest uzasadnione w świetle art. 52 ust. 1 karty.
      
      ii)  W przedmiocie uzasadnienia naruszenia praw przyznanych w art. 7 i 8 karty
      65      Należy przypomnieć, że art. 52 ust. 1 karty dopuszcza wprowadzenie ograniczeń w wykonywaniu praw takich jak ustanowione w art. 7
         i 8 karty, o ile przewidziane są one ustawą, szanują istotę tych praw i wolności oraz z zastrzeżeniem zasady proporcjonalności
         są konieczne i rzeczywiście odpowiadają celom interesu ogólnego uznanym przez Unię lub potrzebom ochrony praw i wolności innych
         osób.
      
      66      Po pierwsze, jest bezsporne, że ingerencję wynikającą z publikacji na stronie internetowej imiennych danych dotyczących zainteresowanych
         beneficjentów należy postrzegać jako „przewidzianą ustawą” w rozumieniu art. 52 ust. 1 karty. Artykuł 1 ust. 1 i art. 2 rozporządzenia
         nr 259/2008 przewidują bowiem wyraźnie taką publikację.
      
      67      W drugiej kolejności, jeżeli chodzi o kwestię, czy ingerencja ta odpowiada celowi interesu ogólnego uznawanego przez Unię
         w rozumieniu art. 52 ust. 1 karty, z motywu 14 rozporządzenia nr 1437/2007, zmieniającego rozporządzenie nr 1290/2005, i motywu
         6 rozporządzenia nr 259/2008 wynika, że publikacja nazwisk beneficjentów pomocy z EFRG i EFRROW i kwot otrzymywanych przez
         nich z tych funduszy ma „zwiększ[yć] przejrzystość wykorzystania środków wspólnotowych w ramach [WPR] oraz jakość finansowego
         zarządzania wspomnianymi funduszami, w szczególności przez wzmocnienie publicznej kontroli wykorzystanych środków finansowych”.
      
      68      Należy przypomnieć, że zasada przejrzystości jest ujęta w art. 1 TUE i 10 TUE oraz art. 15 TFUE. Pozwala ona obywatelom na
         bliższe uczestnictwo w procesie podejmowania decyzji i gwarantuje, że administracja cieszy się większą prawowitością, jest
         bardziej skuteczna i odpowiedzialna względem obywateli w systemie demokratycznym (zob. wyroki: z dnia 6 marca 2003 r. w sprawie
         C‑41/00 P Interporc przeciwko Komisji, Rec. s. I‑2125, pkt 39; z dnia 29 czerwca 2010 r. w sprawie C‑28/08 P Komisja przeciwko
         Bavarian Lager, Zb.Orz. s. I‑6055, pkt 54).
      
      69      Wzmacniając publiczną kontrolę wykorzystania kwot wypłaconych z EFRG i EFRROW, publikacja wymagana w przepisach, których ważność
         jest kwestionowana, przyczynia się do właściwego wykorzystania funduszy publicznych przez administrację publiczną (zob. podobnie
         ww. wyrok w sprawie Österreichischer Rundfunk i in., pkt 81).
      
      70      Ponadto wspomniana publikacja dotycząca wykorzystania kwot wypłaconych z danych funduszy rolnych pozwala obywatelowi na lepsze
         uczestnictwo w debacie publicznej wokół podejmowania decyzji dotyczących ukierunkowania WPR.
      
      71      Zmierzając do zwiększenia przejrzystości wykorzystania funduszy w ramach WPR, art. 44a rozporządzenia nr 1290/2005 i rozporządzenie
         nr 259/2008 realizują zatem cel interesu ogólnego uznawanego przez Unię.
      
      72      Po trzecie, należy również sprawdzić, czy ograniczenie wprowadzone do praw ustanowionych w art. 7 i 8 karty jest proporcjonalne
         do zamierzonego zasadnego celu (zob. m.in. wyrok ETPC z dnia 24 listopada 1986 r. w sprawie Gillow przeciwko Zjednoczonemu
         Królestwu, seria A, nr 109, § 55; ww. wyrok w sprawie Österreichischer Rundfunk i in., pkt 83).
      
      73      W tym kontekście skarżący w postępowaniu przed sądem krajowym wskazują na to, że dane, których publikację przewidziano w art. 44a
         rozporządzenia nr 1290/2005 i w rozporządzeniu nr 259/2008, pozwalają osobom trzecim na wyciągnięcie wniosków co do ich przychodów.
         Wyjaśniają, że dopłaty te stanowią między 30% a 70% dochodów ogółem zainteresowanych beneficjentów. Zasadnemu interesowi społeczeństwa
         zadośćuczyniłaby publikacja anonimowych danych statystycznych.
      
      74      Z utrwalonego orzecznictwa wynika, że zasada proporcjonalności, która zalicza się do podstawowych zasad prawa wspólnotowego,
         wymaga, by środki wprowadzone aktem Unii były odpowiednie do realizacji zamierzonego celu i nie wykraczały poza to, co jest
         konieczne do jego osiągnięcia (wyrok z dnia 8 czerwca 2010 r. w sprawie C‑58/08 Vodafone i in., Zb.Orz. s. I‑4999, pkt 51
         i przytoczone tam orzecznictwo).
      
      75      Nie kwestionuje się, że publikacja poprzez Internet danych imiennych dotyczących zainteresowanych beneficjentów i dokładnych
         kwot pochodzących z EFRG i EFRROW otrzymanych przez nich może powodować zwiększenie przejrzystości w odniesieniu do wykorzystania
         danych dopłat rolnych. Udostępnienie takich informacji obywatelom wzmacnia publiczną kontrolę wykorzystania danych kwot i przyczynia
         się do optymalnego wykorzystania funduszy publicznych.
      
      76      Jeżeli chodzi o konieczność środka, należy przypomnieć, że celu wspomnianej publikacji nie można realizować bez uwzględnienia
         faktu, iż należy pogodzić go z prawami podstawowymi ustanowionymi w art. 7 i 8 karty (zob. podobnie wyrok z dnia 16 grudnia
         2008 r. w sprawie C‑73/07 Satakunnan Markkinapörssi i Satamedia, Zb.Orz. s. I‑9831, pkt 53).
      
      77      Należy zatem sprawdzić, czy Rada i Komisja dokonały odpowiedniego wyważenia interesu Unii polegającego na zapewnieniu przejrzystości
         jej działań i optymalnego wykorzystania funduszy publicznych, z jednej strony, i naruszanego prawa zainteresowanych beneficjentów
         do poszanowania ich życia prywatnego w ogólności i ochrony ich danych osobowych w szczególności, z drugiej strony. W tym względzie
         Trybunał orzekł już, że odstępstwa i ograniczenia ochrony danych powinny ograniczać się do tego, co absolutnie konieczne (ww.
         wyrok w sprawie Satakunnan Markkinapörssi i Satamedia, pkt 56).
      
      78      Rządy, które złożyły uwagi na piśmie przed Trybunałem, Rada i Komisja argumentują, że cel realizowany poprzez publikację wymaganą
         w art. 44a rozporządzenia nr 1290/2005 i rozporządzeniu nr 259/2008 nie mógł zostać osiągnięty poprzez środki słabiej ingerujące
         w prawo zainteresowanych beneficjentów do poszanowania ich życia prywatnego w ogólności i ochrony ich danych osobowych w szczególności.
         Informacje ograniczone do zainteresowanych beneficjentów, których dopłaty przekraczają określony próg, nie oferowałyby podatnikowi
         wiernego obrazu WPR. Podatnik miałby bowiem wrażenie, że są tylko „wielcy” beneficjenci pomocy z wspomnianych funduszy rolnych,
         a przecież jest bardzo wielu „małych” beneficjentów. Ograniczenie publikacji do osób prawnych również nie byłoby satysfakcjonujące.
         Komisja podnosi w tym kontekście, że pośród największych beneficjentów dotacji rolnych figurują osoby fizyczne.
      
      79      Wprawdzie w demokratycznym społeczeństwie podatnicy mają prawo do informacji o wykorzystaniu wydatków publicznych (ww. wyrok
         w sprawie Österreichischer Rundfunk i in., pkt 85), niemniej odpowiednie wyważenie różnych podlegających uwzględnieniu interesów
         wymagało przed przyjęciem przepisów, których ważność jest kwestionowana, zweryfikowania przez odpowiednie instytucje, czy
         publikacja poprzez stronę internetową, jedną na każde państwo członkowskie i swobodnie dostępną, imiennych danych dotyczących
         wszystkich zainteresowanych beneficjentów i dokładnych kwot pochodzących z EFRG i EFRROW otrzymanych przez każdego z nich
         – bez rozróżnienia w zależności od okresu, częstości lub rodzaju i wysokości otrzymanej pomocy – nie wykraczała poza to, co
         było konieczne dla realizacji zasadnie zamierzonych celów, mając na względzie w szczególności powodowane przez taką publikację
         naruszenie praw przyznanych w art. 7 i 8 karty.
      
      80      Jeżeli chodzi o osoby fizyczne będące beneficjentami pomocy z EFRG i EFRROW, nie okazuje się, by Rada i Komisja starały się
         dokonać takiego odpowiedniego wyważenia interesu Unii polegającego na zapewnieniu przejrzystości jej działań i optymalnego
         wykorzystania funduszy publicznych, z jednej strony, i praw podstawowych ustanowionych w art. 7 i 8 karty, z drugiej strony.
      
      81      Nic nie wskazuje bowiem na to, by Rada i Komisja, przyjmując art. 44a rozporządzenia nr 1290/2005 i rozporządzenie nr 259/2008,
         rozpatrzyły szczegółowe zasady publikacji informacji dotyczących zainteresowanych beneficjentów, które byłyby zgodne z celem
         takiej publikacji, a jednocześnie słabiej ingerowały w prawo tych beneficjentów do poszanowania ich życia prywatnego w ogólności
         i ochrony ich danych osobowych w szczególności, takie jak ograniczenie publikacji imiennych danych dotyczących tych beneficjentów
         w zależności od okresu, w którym otrzymywali pomoc, jej częstości czy też rodzaju i wysokości.
      
      82      Ograniczonej w ten sposób publikacji imiennej mogłyby ewentualnie towarzyszyć odpowiednie wyjaśnienia dotyczące innych osób
         fizycznych będących beneficjentami pomocy ze wspomnianych funduszy i otrzymanych przez nich kwot.
      
      83      Instytucje powinny były zatem zbadać w ramach odpowiedniego wyważenia różnych interesów podlegających uwzględnieniu, czy ograniczona
         publikacja imienna, taka jak wskazano w pkt 81 niniejszego wyroku, nie byłaby wystarczająca dla osiągnięcia celów rozpatrywanej
         regulacji unijnej. W szczególności nie okazuje się, by takie ograniczenie, które chroniłoby niektórych z zainteresowanych
         beneficjentów przed ingerencją w ich życie prywatne, nie dawało obywatelowi wystarczająco wiernego obrazu pomocy wypłacanej
         z EFRG i EFRROW, umożliwiając jednocześnie osiągnięcie celów wspomnianej regulacji.
      
      84      Państwa członkowskie, które złożyły uwagi na piśmie, oraz Rada i Komisja wskazują ponadto na istotny udział WPR w budżecie
         Unii w celu uzasadnienia konieczności publikacji wymaganej w art. 44a rozporządzenia nr 1290/2005 i w rozporządzeniu nr 259/2008.
      
      85      Argument ten należy oddalić. Należy przypomnieć, że przed udostępnieniem informacji dotyczących osoby fizycznej instytucje
         są zobowiązane wyważyć interes Unii w zapewnieniu przejrzystości jej działań i naruszane prawa przyznane art. 7 i 8 karty.
         Celowi przejrzystości nie można jednak przyznać automatycznego pierwszeństwa przed prawem do ochrony danych osobowych (zob.
         podobnie ww. wyrok w sprawie Komisja przeciwko Bavarian Lager, pkt 75–79), nawet jeżeli w grę wchodzą istotne interesy ekonomiczne.
      
      86      Z powyższego nie wynika, by instytucje dokonały odpowiedniego wyważenia celów art. 44a rozporządzenia nr 1290/2005 i rozporządzenia
         nr 259/2008 i praw przyznanych osobom fizycznym w art. 7 i 8 karty. Z uwagi na to, że ograniczenia ochrony danych osobowych
         powinny ograniczać się do tego, co absolutnie konieczne (ww. wyrok w sprawie Satakunnan Markkinapörssi i Satamedia, pkt 56)
         i że możliwe są środki, które słabiej ingerują w to prawo podstawowe osób fizycznych, a jednocześnie w skuteczny sposób przyczyniają
         się do realizacji celów rozpatrywanego uregulowania, należy stwierdzić, że nakazując publikację nazwisk wszystkich osób fizycznych
         będących beneficjentami pomocy z EFRG i EFRROW oraz dokładnych kwot otrzymywanych przez nie, Rada i Komisja przekroczyły granice,
         które wyznacza poszanowanie zasady proporcjonalności.
      
      87      W końcu, jeżeli chodzi o osoby prawne będące beneficjentami pomocy z EFRG i EFRROW, w zakresie, w jakim mogą one powoływać
         się na prawa przyznane w art. 7 i 8 karty (zob. pkt 53 niniejszego wyroku), należy uznać, że obowiązek publikacji wynikający
         z przepisów, których ważność jest kwestionowana, nie przekracza granic, które wyznacza poszanowanie zasady proporcjonalności.
         Waga naruszenia prawa do ochrony danych osobowych jest bowiem inna w przypadku osób prawnych i w przypadku osób fizycznych.
         Należy zaznaczyć, że osoby prawne podlegają już szerszemu obowiązkowi publikacji danych ich dotyczących. Poza tym obowiązek
         zbadania przez organy krajowe przed publikacją omawianych danych w odniesieniu do każdej osoby prawnej będącej beneficjentem
         pomocy z EFRG lub EFRROW, czy jej nazwa wskazuje osoby fizyczne, nakładałby na właściwe organy krajowe nadmierne obciążenie
         administracyjne (zob. podobnie wyrok ETPC w sprawie K.U. przeciwko Finlandii z dnia 2 marca 2009 r., skarga nr 2872/02, dotychczas
         nieopublikowany, § 48).
      
      88      W tych warunkach należy uznać, że przepisy, których ważność jest kwestionowana przez sąd krajowy, w zakresie, w jakim odnoszą
         się do publikacji danych dotyczących osób prawnych, zachowują właściwą równowagę przy uwzględnieniu występujących w danym
         przypadku interesów.
      
      89      Na podstawie całości powyższych rozważań należy stwierdzić nieważność art. 44a rozporządzenia nr 1290/2005 i rozporządzenia
         nr 259/2008 w zakresie, w jakim w odniesieniu do osób fizycznych będących beneficjentami pomocy z EFRG i EFRROW przepisy te
         wymagają publikacji danych osobowych dotyczących każdego beneficjenta, bez wprowadzenia rozróżnienia według odpowiednich kryteriów,
         takich jak okresy, w których otrzymali tę pomoc, jej częstość czy też rodzaj i wysokość.
      
      c)     W przedmiocie ważności art. 42 pkt 8b rozporządzenia nr 1290/2005
      90      Należy przypomnieć, że art. 42 pkt 8b rozporządzenia nr 1290/2005 uprawnia Komisję do przepisów wykonawczych tylko do art. 44a
         tego rozporządzenia.
      
      91      Ponieważ jednak z podanych wyżej powodów należy stwierdzić nieważność art. 44a rozporządzenia nr 1290/2005, w ten sam sposób
         należy stwierdzić nieważność art. 42 pkt 8b tego rozporządzenia.
      
      92      Na pytanie pierwsze i pierwszą część pytania drugiego należy zatem odpowiedzieć, że art. 42 pkt 8b i art. 44a rozporządzenia
         nr 1290/2005 oraz rozporządzenie nr 259/2008 są nieważne w zakresie, w jakim w odniesieniu do osób fizycznych będących beneficjentami
         pomocy z EFRG i EFRROW przepisy te wymagają publikacji danych osobowych dotyczących każdego beneficjenta, bez wprowadzenia
         rozróżnienia według odpowiednich kryteriów, takich jak okresy, w których otrzymali tę pomoc, jej częstość czy też rodzaj i wysokość.
      
      d)     W przedmiocie skutków w czasie stwierdzonej nieważności
      93      Należy przypomnieć, że jeśli jest to uzasadnione nadrzędnymi względami pewności prawa, Trybunał dysponuje na podstawie art. 264
         akapit drugi TFUE, który przez analogię ma zastosowanie również w ramach odesłania prejudycjalnego dotyczącego oceny ważności
         aktów Unii na podstawie art. 267 TFUE, uprawnieniem do wskazania w każdym konkretnym przypadku skutków danego aktu, które
         powinny być uważane za ostateczne (zob. podobnie wyrok z dnia 22 grudnia 2008 r. w sprawie C‑333/07 Regie Networks, Zb.Orz.
         s. I‑10807, pkt 121 i przytoczone tam orzecznictwo).
      
      94      Biorąc pod uwagę wysoką liczbę publikacji, których dokonano w państwach członkowskich na podstawie uregulowania, które było
         uznawane za obowiązujące, należy uznać, że stwierdzona nieważność wyżej wymienionych przepisów wykonawczych nie pozwala na
         kwestionowanie skutków publikacji wykazów beneficjentów pomocy z EFRG i EFRROW dokonanej przez organy krajowe na podstawie
         tych przepisów w okresie przed dniem wydania niniejszego wyroku.
      
      2.     W przedmiocie pytania trzeciego
      95      Poprzez to pytanie sąd krajowy zmierza zasadniczo do ustalenia, czy art. 18 ust. 2 tiret drugie dyrektywy 95/46 należy interpretować
         w ten sposób, że publikacja informacji wynikająca z art. 42 pkt 8b i art. 44a rozporządzenia nr 1290/2005 oraz rozporządzenia
         nr 259/2008 może mieć miejsce tylko wtedy, gdy urzędnik do spraw ochrony danych osobowych przed tą publikacją prowadził pełen
         rejestr w rozumieniu tego art. 18 ust. 2 tiret drugie.
      
      96      Należy przypomnieć w tym względzie, że art. 18 ust. 1 dyrektywy 95/46 ustanawia zasadę zawiadamiania organu kontrolnego przed
         przeprowadzeniem całościowej lub częściowej operacji automatycznego przetwarzania danych osobowych lub zestawu takich operacji
         mających służyć jednemu celowi lub wielu powiązanym ze sobą celom. Jak wyjaśnia motyw 48 dyrektywy 95/46, „[p]rocedury dotyczące
         zawiadamiania organu [kontrolnego] są skonstruowane w taki sposób, aby zapewnić ujawnienie celów i głównych cech operacji
         przetwarzania danych dla ustalenia, czy operacja taka jest zgodna z krajowymi przepisami przyjętymi na podstawie [tej] dyrektywy”.
      
      97      Artykuł 18 ust. 2 tiret drugie dyrektywy 95/46 stanowi jednak, że państwa członkowskie mogą wprowadzić uproszczenie procedury
         zawiadomienia lub zwolnienie z tego obowiązku między innymi, jeżeli administrator danych powoła urzędnika do spraw ochrony
         danych osobowych. Z postanowienia odsyłającego wynika, że w kraju związkowym Hesja dokonano tego w odniesieniu do publikacji
         danych wynikającej z art. 42 pkt 8b i art. 44a rozporządzenia nr 1290/2005 i rozporządzenia nr 259/2008.
      
      98      Zgodnie z art. 18 ust. 2 tiret drugie dyrektywy 95/46 na urzędniku do spraw ochrony danych osobowych spoczywają różne zadania,
         które mogą zapewnić, iż operacje przetwarzania nie będą naruszały praw i wolności osób, których dane dotyczą. Urzędnik jest
         przykładowo odpowiedzialny za prowadzenie „rejestru operacji przetwarzania danych wykonywanych przez administratora danych
         i zawierających informacje określone w art. 21 ust. 2 [dyrektywy 95/46]”. Ten ostatni przepis odsyła do art. 19 ust. 1 lit. a)–e)
         tej samej dyrektywy.
      
      99      Niemniej, wbrew temu, co utrzymuje sąd krajowy, art. 18 ust. 2 tiret drugie dyrektywy 95/46 nie nakłada obowiązku prowadzenia
         przez urzędnika do spraw ochrony danych osobowych rejestru zawierającego informacje określone w art. 21 ust. 2 w związku z art. 19
         ust. 1 lit. a)–e) dyrektywy 95/46 już przed rozpoczęciem danej operacji przetwarzania danych. Rejestr, o którym mowa w art. 18
         ust. 2 tiret drugie dyrektywy 95/46, musi bowiem zawierać jedynie „wykonywane operacje przetwarzania danych”.
      
      100    W tych warunkach stwierdzony przez sąd krajowy brak pełnego rejestru przed rozpoczęciem operacji przetwarzania danych nie
         może naruszać legalności publikacji takiej jak wynikająca z art. 42 pkt 8b i art. 44a rozporządzenia nr 1290/2005 oraz rozporządzenia
         nr 259/2008.
      
      101    Na pytanie trzecie należy zatem odpowiedzieć, że art. 18 ust. 2 tiret drugie dyrektywy 95/46 należy interpretować w ten sposób,
         że nie nakłada on na urzędnika do spraw ochrony danych osobowych obowiązku prowadzenia rejestru przewidzianego w tym przepisie
         przed rozpoczęciem przetwarzania danych osobowych w rozumieniu art. 42 pkt 8b i art. 44a rozporządzenia nr 1290/2005 oraz
         rozporządzenia nr 259/2008.
      
      3.     W przedmiocie pytania czwartego
      102    Tym pytaniem sąd krajowy zmierza zasadniczo do ustalenia, czy art. 20 dyrektywy 95/46 należy interpretować w ten sposób, że
         poddaje on publikację informacji wynikającą z art. 42 pkt 8b i art. 44a rozporządzenia nr 1290/2005 oraz rozporządzenia nr 259/2008
         kontroli wstępnej przewidzianej w tym art. 20.
      
      103    Należy zaznaczyć na wstępie, że art. 20 ust. 1 dyrektywy 95/46 stanowi, iż „[p]aństwa członkowskie definiują operacje przetwarzania
         danych mogące stwarzać określone zagrożenia dla praw i wolności osób, których dane dotyczą, oraz kontrolują, czy dane te są
         badane przed ich rozpoczęciem”.
      
      104    Wynika z tego, że dyrektywa 95/46 nie poddaje operacji przetwarzania danych osobowych ogólnej kontroli wstępnej. Jak wynika
         bowiem z motywu 52 dyrektywy 95/46, prawodawca unijny uznał, że „kontrola ex post przeprowadzana przez właściwe organy musi
         z reguły być uznawana za wystarczający środek”.
      
      105    Jeżeli chodzi o operacje przetwarzania poddane kontroli wstępnej, czyli te, które mogą stwarzać szczególne zagrożenia dla
         praw i wolności osób, których dane dotyczą, motyw 53 dyrektywy 95/46 wyjaśnia, że operacje przetwarzania mogą stwarzać takie
         zagrożenia „ze względu na ich charakter, ich zakres lub przeznaczenie”. Nawet jeżeli dozwolone jest, by państwa członkowskie
         bardziej szczegółowo określiły w swoim ustawodawstwie operacje przetwarzania, które mogą stwarzać szczególne zagrożenia dla
         praw i wolności osób, których dane dotyczą, dyrektywa przewiduje, jak wynika z jej motywu 54, że ich liczba powinna być „bardzo
         ograniczona”.
      
      106    Należy zaznaczyć jeszcze, że zgodnie z art. 27 ust. 1 rozporządzenia nr 45/2001 operacje przetwarzania danych mogące stwarzać
         określone zagrożenia dla praw i wolności osób, których dane dotyczą, poddane są również kontroli wstępnej, jeżeli są wykonywane
         przez instytucje i organy Unii. Artykuł 27 ust. 2 tego rozporządzenia określa operacje przetwarzania, które mogą nieść takie
         zagrożenia. Mając na uwadze paralelizm przepisów dyrektywy 95/46 i rozporządzenia nr 45/2001 dotyczących kontroli wstępnej,
         zawarty w art. 27 ust. 2 rozporządzenia nr 45/2001 wykaz operacji przetwarzania mogących stwarzać szczególne zagrożenia dla
         praw i wolności osób, których dane dotyczą, należy uznać za właściwy dla interpretacji art. 20 dyrektywy 95/46.
      
      107    Tymczasem nie można stwierdzić, by publikacja wymagana w art. 42 pkt 8b i art. 44a rozporządzenia nr 1290/2005 i rozporządzeniu
         nr 259/2008 była objęta jedną z kategorii operacji przetwarzania określonych w art. 27 ust. 2 rozporządzenia nr 45/2001.
      
      108    W tych warunkach na pytanie czwarte należy odpowiedzieć, że art. 20 dyrektywy 95/46 należy interpretować w ten sposób, iż
         nie zobowiązuje on państw członkowskich do tego, by przewidzianej w tym przepisie kontroli wstępnej poddawały publikację informacji
         wynikającą z art. 42 pkt 8b i art. 44a rozporządzenia nr 1290/2005 oraz rozporządzenia nr 259/2008.
      
      109    Mając na uwadze odpowiedź udzieloną na pytanie czwarte, nie ma potrzeby odpowiadania na pytanie piąte.
      
      IV –  W przedmiocie kosztów
      110    Dla stron postępowania przed sądem krajowym niniejsze postępowanie ma charakter incydentalny, dotyczy bowiem kwestii podniesionej
         przed tym sądem, do niego zatem należy rozstrzygnięcie o kosztach. Koszty poniesione w związku z przedstawieniem uwag Trybunałowi,
         inne niż poniesione przez strony postępowania przed sądem krajowym, nie podlegają zwrotowi.
      
      Z powyższych względów Trybunał (wielka izba) orzeka, co następuje:
      1)      Stwierdza się nieważność art. 42 pkt 8b i art. 44a rozporządzenia Rady (WE) nr 1290/2005 z dnia 21 czerwca 2005 r. w sprawie
            finansowania wspólnej polityki rolnej, zmienionego rozporządzeniem Rady (WE) nr 1437/2007 z dnia 26 listopada 2007 r., oraz
            rozporządzenia Komisji (WE) nr 259/2008 z dnia 18 marca 2008 r. ustanawiającego szczegółowe zasady stosowania rozporządzenia
            Rady (WE) nr 1290/2005 w zakresie publikowania informacji na temat beneficjentów środków pochodzących z Europejskiego Funduszu
            Rolniczego Gwarancji (EFRG) i Europejskiego Funduszu Rolnego na rzecz Rozwoju Obszarów Wiejskich (EFRROW) w zakresie, w jakim
            w odniesieniu do osób fizycznych będących beneficjentami pomocy z EFRG i EFRROW przepisy te wymagają publikacji danych osobowych
            dotyczących każdego beneficjenta, bez wprowadzenia rozróżnienia według odpowiednich kryteriów, takich jak okresy, w których
            otrzymali tę pomoc, jej częstość czy też rodzaj i wysokość.
      2)      Nieważność przepisów prawa Unii wspomnianych w pkt 1 sentencji nie pozwala na kwestionowanie skutków publikacji wykazów beneficjentów
            pomocy z EFRG i EFRROW dokonanej przez organy krajowe na podstawie tych przepisów w okresie przed dniem wydania niniejszego
            wyroku.
      3)      Artykuł 18 ust. 2 tiret drugie dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie
            ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych należy interpretować
            w ten sposób, że nie nakłada on na urzędnika do spraw ochrony danych osobowych obowiązku prowadzenia rejestru przewidzianego
            w tym przepisie przed rozpoczęciem przetwarzania danych osobowych w rozumieniu art. 42 pkt 8b i art. 44a rozporządzenia nr 1290/2005,
            zmienionego rozporządzeniem nr 1437/2007, oraz rozporządzenia nr 259/2008.
      4)      Artykuł 20 dyrektywy 95/46 należy interpretować w ten sposób, iż nie zobowiązuje on państw członkowskich do tego, by poddawały
            przewidzianej w tym przepisie kontroli wstępnej publikację informacji wynikającą z art. 42 pkt 8b i art. 44a rozporządzenia
            nr 1290/2005, zmienionego rozporządzeniem nr 1437/2007, oraz rozporządzenia nr 259/2008.
      Podpisy
      * Język postępowania: niemiecki.