ROZSUDOK SÚDNEHO DVORA (druhá komora)
z 19. októbra 2016 (*)
„Návrh na začatie prejudiciálneho konania – Spracovanie osobných údajov – Smernica 95/46/ES – Článok 2 písm. a) – Článok 7 písm. f) – Pojem ‚osobné údaje‘ – Adresy internetového protokolu – Uchovávanie poskytovateľom online mediálnych služieb – Vnútroštátna právna úprava, ktorá neumožňuje zohľadnenie legitímneho záujmu sledovaného prevádzkovateľom“
Vo veci C‑582/14,
ktorej predmetom je návrh na začatie prejudiciálneho konania podľa článku 267 ZFEÚ, podaný rozhodnutím Bundesgerichtshof (Spolkový súdny dvor, Nemecko) z 28. októbra 2014 a doručený Súdnemu dvoru 17. decembra 2014, ktorý súvisí s konaním:
Patrick Breyer
proti
Bundesrepublik Deutschland,
SÚDNY DVOR (druhá komora),
v zložení: predseda druhej komory M. Ilešič, sudcovia A. Prechal, A. Rosas (spravodajca), C. Toader a E. Jarašiūnas,
generálny advokát: M. Campos Sánchez‑Bordona,
tajomník: V. Giacobbo‑Peyronnel, referentka,
so zreteľom na písomnú časť konania a po pojednávaní z 25. februára 2016,
so zreteľom na pripomienky, ktoré predložili:
– P. Breyer, v zastúpení: M. Starostik, Rechtsanwalt,
– nemecká vláda, v zastúpení: A. Lippstreu a T. Henze, splnomocnení zástupcovia,
– rakúska vláda, v zastúpení: G. Eberhard, splnomocnený zástupca,
– portugalská vláda, v zastúpení: L. Inez Fernandes a C. Vieira Guerra, splnomocnení zástupcovia,
– Európska komisia, v zastúpení: P. J. O. Van Nuffel, H. Krämer, P. Costa de Oliveira a J. Vondung, splnomocnení zástupcovia,
po vypočutí návrhov generálneho advokáta na pojednávaní 12. mája 2016,
vyhlásil tento
Rozsudok
1 Návrh na začatie prejudiciálneho konania sa týka výkladu článku 2 písm. a) a článku 7 písm. f) smernice Európskeho parlamentu a Rady 95/46/ES z 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov (Ú. v. ES L 281, 1995, s. 31; Mim. vyd. 13/015, s. 355).
2 Tento návrh bol podaný v rámci sporu medzi pánom Patrickom Breyerom a Bundesrepublik Deutschland (Spolková republika Nemecko) vo veci zapisovania a uchovávania touto republikou adresy internetového protokolu (ďalej len „IP adresa“) pána Breyera v rámci jeho prehliadania si viacerých internetových stránok nemeckých spolkových orgánov.
Právny rámec
Právo Únie
3 Odôvodnenie 26 smernice 95/46 stanovuje:
„keďže zásady ochrany sa musia vzťahovať na všetky informácie týkajúce sa identifikovanej alebo identifikovateľnej osoby; keďže k určeniu, či je osoba identifikovateľná, by sa mali vziať do úvahy všetky prostriedky, u ktorých je primeraná pravdepodobnosť, že ich využije kontrolór [prevádzkovateľ – neoficiálny preklad], alebo ľubovoľná iná osoba na identifikáciu príslušnej osoby; keďže zásady ochrany sa nebudú vzťahovať na údaje poskytnuté anonymne, a to tak, že predmet údajov sa už nebude dať identifikovať; keďže zásady správania v zmysle článku 27 môžu byť užitočným nástrojom na poskytnutie poradenstva, pokiaľ ide o spôsoby, ako sa môžu údaje poskytovať anonymne a uchovávať vo forme, v ktorej nie je možné identifikovať predmet údajov [dotknutú osobu – neoficiálny preklad]“.
4 Podľa článku 1 uvedenej smernice:
„1. V súlade s touto smernicou členské štáty chránia základné práva a slobody fyzických osôb, a najmä ich právo na súkromie v súvislosti so spracovaním osobných údajov.
2. Členské štáty neobmedzujú, ani nebránia voľnému toku osobných údajov medzi členskými štátmi z dôvodov spojených s ochranou poskytnutou podľa odseku 1.“
5 Článok 2 tej istej smernice stanovuje:
„Na účely tejto smernice:
a) ‚osobné údaje‘ znamenajú akúkoľvek informáciu, ktorá sa týka identifikovanej alebo identifikovateľnej fyzickej osoby (‚údajového subjektu‘) [(,dotknutej osoby‘) – neoficiálny preklad]; identifikovateľná osoba je osoba, ktorú možno identifikovať, priamo alebo nepriamo, najmä pomocou overenia identifikačného čísla alebo jedného alebo viacerých faktorov špecifických pre jeho fyzickú, fyziologickú, duševnú, hospodársku, kultúrnu alebo sociálnu identitu;
b) ‚spracovanie osobných údajov‘ (‚spracovanie‘) znamená akúkoľvek operáciu alebo komplex operácií, ktorá sa vykonáva na osobných údajoch, či už automatickými prostriedkami, alebo nie, ako je zber, zaznamenávanie, organizácia, uskladnenie, úprava alebo nahradenie, vyhľadávanie, nahliadnutie, používanie, odhalenie prenosom, šírenie alebo sprístupnenie iným spôsobom, upravenie alebo kombinácia, blokovanie, vymazanie alebo zničenie;
…
d) ‚kontrolór [prevádzkovateľ – neoficiálny preklad]‘ znamená fyzickú alebo právnickú osobu, verejný orgán, agentúru alebo akýkoľvek iný orgán, ktorý sám, alebo v spojení s inými, určí účely a prostriedky spracovania osobných údajov; tam, kde sú účely a prostriedky spracovania stanovené vnútroštátnymi zákonmi a nariadeniami, alebo zákonmi a nariadeniami spoločenstva, ten, kto spracovanie riadi, alebo konkrétne kritériá pre jeho menovanie, môžu byť navrhnuté na základe vnútroštátneho práva alebo práva spoločenstva;
…
f) ‚tretia strana‘ znamená akúkoľvek fyzickú alebo právnickú osobu, štátny orgán, agentúru alebo akýkoľvek iný orgán, ako údajový subjekt, ten, kto spracovanie riadi, spracovateľ a osoby, ktoré sú na základe priameho poverenia kontrolóra [prevádzkovateľa – neoficiálny preklad] alebo spracovateľom poverené spracovať údaje;
…“
6 Článok 3 smernice 95/46 nazvaný „Rozsah“ [„Pôsobnosť“ – neoficiálny preklad] stanovuje:
„1. Táto smernica sa uplatňuje na spracovanie osobných údajov vcelku alebo čiastočných údajov, automatickými prostriedkami, a na spracovanie osobných údajov inými, ako automatickými prostriedkami, ktoré tvoria časť registračného systému alebo určených pre to, aby tvorili časť registračného systému.
2. Táto smernica sa neuplatňuje na spracovanie osobných údajov:
– v priebehu činností, ktoré sú mimo rozsahu zákona spoločenstva, ako sú tie, ktoré sú uvedené v hlave V a VI Zmluvy o Európskej únii a v žiadnom prípade sa neuplatňujú na operácie spracovania týkajúce sa verejnej bezpečnosti, obrany, bezpečnosti štátu (vrátane hospodárskej prosperity štátu, keď sa operácia spracovania týka záležitostí bezpečnosti štátu) a činností štátu v oblastiach trestného zákona;
…“
7 Článok 5 uvedenej smernice stanovuje:
„Členské štáty stanovia, v rámci ustanovení tejto kapitoly, presnejšie podmienky zákonnosti spracovania osobných údajov.“
8 Článok 7 tej istej smernice stanovuje:
„Členské štáty zabezpečia, aby bolo možné osobné údaje spracovať, iba ak:
a) osoba pracujúca s údajmi [dotknutá osoba – neoficiálny preklad] poskytla svoj súhlas jednoznačne;
alebo
b) spracovanie je nevyhnutné pre výkon zmluvy, ktorej osoba pracujúca s údajmi [dotknutá osoba – neoficiálny preklad] je zainteresovanou stranou, alebo aby sa vykonali opatrenia na požiadanie osoby pracujúcej s údajmi [dotknutej osoby – neoficiálny preklad] pred uzatvorením zmluvy;
alebo
c) spracovanie je nevyhnutné na vyhovenie právnemu záväzku, ktorého subjektom je kontrolór [na splnenie zákonnej povinnosti, ktorou je prevádzkovateľ viazaný – neoficiálny preklad];
alebo
d) spracovanie je nevyhnutné, aby sa ochránili životné záujmy osoby pracujúcej s údajmi [dotknutej osoby – neoficiálny preklad];
alebo
e) spracovanie je nevyhnutné na splnenie úlohy vykonávanej vo verejnom záujme alebo v uplatňovaní oficiálneho poverenia zvereného kontrolórovi [prevádzkovateľovi – neoficiálny preklad] alebo tretej strane, ktorej sa údaje odhalia;
alebo
f) spracovanie je nevyhnutné [na] účely legitímnych záujmov, ktoré plní kontrolór [prevádzkovateľ – neoficiálny preklad], alebo tretia strana alebo strany, ktorým sú údaje odhalené, s výnimkou, ak takéto záujmy sú prevýšené záujmami týkajúcimi sa základných práv a slobôd osoby pracujúcej s údajmi [dotknutej osoby – neoficiálny preklad], ktoré potrebujú ochranu podľa článku 1 ods. 1.“
9 Článok 13 ods. 1 smernice 95/46 stanovuje:
„Členské štáty môžu prijať legislatívne opatrenia na obmedzenie rozsahu povinností a práv uvedených v článk[u] 6 ods. 1, v článk[och] 10 a 11 ods. 1, v článkoch 12 a 21, keď takéto obmedzenie vytvára nevyhnutné opatrenia na zabezpečenie údajov o:
…
d) prevencii, vyšetrovaní, pátraní a trestnom konaní alebo porušení etiky pre predpísané profesie;
…“
Nemecké právo
10 § 12 Telemediengesetz (zákon o online mediálnych službách) z 26. februára 2007 (BGBl. 2007, I, s. 179, ďalej len „TMG“) stanovuje:
„1. Poskytovateľ služieb je oprávnený zhromažďovať a spracúvať osobné údaje na účely sprístupnenia online médií len v rozsahu, v akom to povoľuje tento zákon alebo iný právny predpis vzťahujúci sa výslovne na online médiá alebo v akom na to dal používateľ súhlas.
2. Poskytovateľ služieb je oprávnený osobné údaje na účely sprístupnenia online médií spracúvať na iné účely len v rozsahu, v akom to povoľuje tento zákon alebo iný právny predpis vzťahujúci sa výslovne na online médiá alebo v akom na to dal používateľ súhlas.
3. Pokiaľ nie je stanovené inak, uplatňujú sa príslušné predpisy o ochrane osobných údajov aj v prípade, že údaje nie sú spracovávané automaticky.“
11 § 15 TMG stanovuje:
„1. Poskytovateľ služieb je oprávnený zhromažďovať a spracúvať osobné údaje používateľa len v rozsahu nevyhnutnom na umožnenie využitia online média a zúčtovanie tohto využitia (údaje o využívaní). Údajmi o využívaní sú predovšetkým:
(1) informácie na identifikáciu používateľa,
(2) údaje o začiatku a konci, ako aj o rozsahu jednotlivého využívania,
(3) údaje o online médiách využitých používateľom.
2. Poskytovateľ služieb je oprávnený zlúčiť údaje používateľa o využívaní týkajúce sa využitia rôznych online médií len v rozsahu nevyhnutnom na zúčtovanie používateľa.
…
4. Poskytovateľ služieb je oprávnený údaje o využívaní spracúvať aj po skončení prehliadania len v rozsahu nevyhnutnom na účely zúčtovania používateľa (zúčtovacie údaje). Poskytovateľ služieb je oprávnený uchovávať údaje na účely splnenia zákonných lehôt, lehôt vyplývajúcich zo stanov, alebo lehôt vyplývajúcich zo zmluvných záväzkov. …“
12 V súlade s § 3 ods. 1 Bundesdatenschutzgesetz (spolkový zákon o ochrane osobných údajov z 20. decembra 1990 (BGBl. 1990 I, s. 2954) „osobnými údajmi sú údaje týkajúce sa osobných alebo materiálnych podmienok identifikovanej alebo identifikovateľnej fyzickej osoby (dotknutá osoba). …“
Spor vo veci samej a prejudiciálne otázky
13 Pán Breyer si prehliadal viaceré internetové stránky nemeckých spolkových orgánov. Na týchto verejnosti prístupných stránkach poskytovali uvedené orgány aktualizované informácie.
14 S cieľom zabrániť útokom a umožniť stíhanie útočníkov sú pri väčšine týchto stránok zaznamenávané všetky prístupy v záznamových súboroch. V nich sa uchováva aj po skončení operácie prehliadanej stránky každý názov otváraného súboru resp. stránky, pojmy uvedené vo vyhľadávacom okne, dátum a čas prehliadania, množstvo prenášaných dát, hlásenie o úspešnosti prehliadania a IP adresa počítača, z ktorého sa prístup vykonal.
15 IP adresy tvoria číslice, ktoré boli pridelené počítačom pripojeným do internetu, aby bola umožnená ich komunikácia v ich sieti. Pri prehliadaní si internetovej stránky je IP adresa vyvolávajúceho počítača sprostredkovaná serveru, na ktorom je prehliadaná stránka uložená. Táto komunikácia je nevyhnutná na to, aby bolo možné preniesť prehliadané údaje správnemu adresátovi.
16 Okrem toho z rozhodnutia vnútroštátneho súdu a zo spisu, ktorý má k dispozícii Súdny dvor, vyplýva, že poskytovatelia internetového prístupu prideľujú používateľom internetu buď „statické“ IP adresy, alebo „dynamické“ IP adresy, t. j. IP adresy, ktoré sa menia pri každom novom pripojení do internetu. Na rozdiel od statických IP adries, dynamické IP adresy neumožňujú vytvoriť spojenie na základe verejne prístupných súborov medzi určitým počítačom a fyzickým pripojením do siete používanej poskytovateľom internetového prístupu.
17 Pán Breyer podal pred nemeckými správnymi súdmi žalobu, ktorou sa domáhal vydať zákaz Spolkovej republike Nemecko uchovávať alebo zamedziť uchovávanie tretími stranami IP adresy pristupujúceho hostiteľského systému pána Breyera po skončení operácií prehliadania verejnosti prístupných stránok o online médiách nemeckých spolkových orgánov v rozsahu, v akom toto uchovávanie nie je nevyhnutné na obnovenie funkčnosti poskytovania týchto médií v prípade prerušenia.
18 Keďže žaloba pána Breyera bola v prvostupňovom konaní zamietnutá, podal proti tomuto rozhodnutiu odvolanie.
19 Odvolací súd čiastočne zmenil dané rozhodnutie. Zaviazal Spolkovú republiku Nemecko, aby prestala uchovávať alebo zamedzila uchovávanie tretími stranami po skončení operácií prehliadania verejnosti prístupných stránok o online médiách nemeckých spolkových orgánov IP adresy pristupujúceho hostiteľského systému pána Breyera, pokiaľ sa táto adresa uchováva v spojení s dátumom operácie prehliadania stránky, na ktorú sa vzťahuje, a pokiaľ pán Breyer prezradil počas tohto prehliadania svoju identitu, vrátane identity vo forme e‑mailu s identifikačnými údajmi, pokiaľ uchovávanie nie je nevyhnutné na obnovenie funkčnosti poskytovania týchto online médií v prípade prerušenia.
20 Podľa tohto odvolacieho súdu predstavuje dynamická IP adresa v spojení s dátumom operácie prehliadania stránky, ku ktorému sa vzťahuje, pokiaľ používateľ danej internetovej stránky odhalil počas tohto prehliadania svoju totožnosť, osobný údaj, pretože prevádzkovateľ tejto stránky môže identifikovať tohto používateľa spojením jeho mena s IP adresou jeho počítača.
21 Uvedený odvolací súd však konštatoval, že pokiaľ ide o ostatné situácie, žalobe pána Breyera nie je dôvodné vyhovieť. Ak totiž pán Breyer neuvedie počas operácie prehliadania stránky svoju totožnosť, spojiť IP adresu s konkrétnym účastníkom môže len poskytovateľ internetového pripojenia. Naproti tomu IP adresa, ktorá sa nachádza v rukách Spolkovej republiky Nemecko ako poskytovateľa online mediálnych služieb, nie je osobným údajom, a to ani v spojení s dátumom operácie prehliadania stránky, ktorý sa na toto prehliadanie vzťahuje, keďže používateľ daných internetových stránok nie je týmto členským štátom identifikovateľný.
22 Pán Breyer a Spolková republika Nemecko podali proti rozhodnutiu odvolacieho súdu opravný prostriedok „Revision“ na Bundesgerichtshof (Spolkový súdny dvor, Nemecko). Pán Breyer sa domáha, aby sa jeho návrhu na vydanie súdneho zákazu vyhovelo v celom rozsahu. Spolková republika Nemecko navrhuje tento návrh zamietnuť.
23 Vnútroštátny súd spresňuje, že dynamické IP adresy počítača pána Breyera uchovávané Spolkovou republikou Nemecko, ktorá koná ako poskytovateľ online mediálnych služieb, predstavujú – prinajmenšom v kontexte ostatných údajov uchovávaných v záznamových súboroch – osobitné údaje týkajúce sa skutočnej situácie pána Breyera, pretože poskytujú údaje o tom, že pán Breyer si prehliadal určité stránky alebo súbory na internete v určitých dňoch.
24 Takto uchovávané údaje však neumožňujú priamo zistiť identitu pána Breyera. Prevádzkovatelia internetových stránok dotknutých vo veci samej by totiž mohli identifikovať pána Breyera len vtedy, ak by im poskytovateľ internetového pripojenia tohto používateľa odovzdal informácie o jeho identite. Označenie týchto údajov za „osobné údaje“ teda záleží na tom, či mohol byť pán Breyer identifikovaný.
25 Bundesgerichtshof (Spolkový súdny dvor) uvádza, že existujú rozpory v právnej vede, pokiaľ ide o otázku, či na určenie toho, či je osoba identifikovateľná, treba vychádzať z „objektívneho“ alebo „relatívneho“ kritéria. Uplatnenie „objektívneho“ kritéria by malo za dôsledok, že také údaje, ako sú IP adresy vo veci samej, by mohli byť po skončení operácie prehliadania daných internetových stránok považované za osobné údaje, napriek tomu, že určiť identitu dotknutej osoby dokáže len tretia osoba, pričom touto treťou osobou je v danom prípade poskytovateľ internetového pripojenia pána Breyera, ktorý uchoval ďalšie údaje umožňujúce jeho identifikáciu prostredníctvom uvedených IP adries. Podľa „relatívneho“ kritériá by takéto údaje mohli byť považované za osobné údaje subjektu, akým je poskytovateľ internetového pripojenia pán Breyera, pretože umožňujú presne určiť totožnosť používateľa (pozri v tomto zmysle rozsudok z 24. novembra 2011, Scarlet Extended, C‑70/10, EU:C:2011:771, bod 51), no nemajú takú povahu s ohľadom na iný subjekt, akým je prevádzkovateľ internetových stránok navštívených pánom Breyerom, pretože tento prevádzkovateľ nemá – v prípade, že pán Breyer neprezradil počas operácie prehliadania týchto stránok svoju totožnosť – informácie nevyhnutné na jeho identifikáciu bez vynaloženia neprimeraného úsilia.
26 Keby sa dynamické IP adresy počítača pána Breyera mali považovať v spojení s dátumom prehliadania stránky, ktorý sa na toto prehliadanie vzťahuje, za osobné údaje, vnútroštátny súd sa pýta, či je uchovávanie týchto IP adries po skončení daného prehliadania povolené podľa článku 7 písm. f) tej istej smernice.
27 V tejto súvislosti Bundesgerichtshof (Spolkový súdny dvor) spresňuje, že poskytovatelia online mediálnych služieb môžu podľa § 15 ods. 1 TMG zhromažďovať a používať osobné údaje používateľa len v rozsahu nevyhnutnom na umožnenie využitia online média používateľom a jeho zúčtovanie. Okrem toho vnútroštátny súd uvádza, že podľa Spolkovej republiky Nemecko je uchovávanie uvedených údajov nevyhnutné na zaistenie bezpečnosti a správneho fungovania stránok v rámci online mediálnych služieb, ktoré sprístupňuje verejnosti, pričom umožňuje najmä rozpoznať počítačové útoky typu „Denial‑of‑Service“, ktorých cieľom je ochromiť fungovanie týchto stránok cieleným a koordinovaným zahltením niektorých internetových serverov veľkým množstvom dopytov, a bojovať proti týmto útokom.
28 Podľa vnútroštátneho súdu za predpokladu a v rozsahu, v akom je nevyhnutné, aby poskytovateľ online mediálnych služieb prijal opatrenia na boj proti takým útokom, by tieto opatrenia mohli byť považované za potrebné na to, aby sa „umožnil[o]… využiti[e] online média“ podľa § 15 TMG. V právnej vede však prevláda názor, že jednak uchovávanie osobných údajov o používateľovi internetovej stránky a ich použitie je povolené len vtedy, ak je to potrebné na umožnenie konkrétneho použitia tejto stránky, a jednak, že tieto údaje je potrebné po skončení príslušnej operácie prehliadania vymazať, pokiaľ už nie sú používané na účely zúčtovania. Taký reštriktívny výklad § 15 ods. 1 TMG však bráni tomu, aby uchovávanie IP adries bolo povolené na zaistenie vo všeobecnosti bezpečnosti a správneho fungovania online médií.
29 Vnútroštátny súd sa pýta, či tento posledný výklad, ktorý je aj výkladom navrhnutým odvolacím súdom, je v súlade s článkom 7 písm. f) smernice 95/46, najmä vzhľadom na kritériá stanovené Súdnym dvorom v bode 29 a nasl. rozsudku z 24. novembra 2011, ASNEF a FECEMD (C‑468/10 a C‑469/10, EU:C:2011:777).
30 Za týchto okolností Bundesgerichtshof (Spolkový súdny dvor) rozhodol prerušiť konanie a položiť Súdnemu dvoru tieto prejudiciálne otázky:
„1. Má sa článok 2 písm. a) smernice 95/46 vykladať v tom zmysle, že IP adresa, ktorú poskytovateľ [on‑line mediálnych] služieb uchováva v súvislosti s prístupom na internetovú stránku, je pre neho osobným údajom už vtedy, keď tretia osoba (tu poskytovateľ prístupu) disponuje ďalšími informáciami potrebnými na identifikáciu dotknutej osoby?
2. Odporuje článok 7 písm. f) [tejto smernice] vnútroštátnemu právnemu predpisu, podľa ktorého poskytovateľ [on‑line mediálnych] služieb môže zhromažďovať a používať osobné údaje používateľa bez jeho súhlasu len v rozsahu nevyhnutnom na umožnenie využitia online média príslušným používateľom a jeho zúčtovanie a podľa ktorého účel zabezpečenia celkovej funkčnosti online média nemôže odôvodniť použitie údajov po skončení príslušnej [operácie] prehliadania?“
O prejudiciálnych otázkach
O prvej otázke
31 Vnútroštátny súd sa svojou prvou otázkou v podstate pýta, či sa má článok 2 písm. a) smernice 95/46 vykladať v tom zmysle, že dynamická IP adresa, ktorú poskytovateľ online mediálnych služieb uchováva v súvislosti s prehliadaním si určitou osobou internetovej stránky, ktorú tento poskytovateľ sprístupnil verejnosti, predstavuje pre tohto poskytovateľa osobný údaj v zmysle tohto ustanovenia, a to aj napriek tomu, že ďalšie informácie potrebné na identifikáciu tejto osoby má k dispozícii len tretí subjekt, v tomto prípade jej poskytovateľ internetového pripojenia.
32 V súlade s týmto ustanovením „osobné údaje“ znamenajú „akúkoľvek informáciu, ktorá sa týka identifikovanej alebo identifikovateľnej fyzickej osoby [(,dotknutej osoby‘)]“. Podľa tohto ustanovenia sa za identifikovateľnú osobu považuje osoba, ktorú možno identifikovať, priamo alebo nepriamo, najmä pomocou overenia identifikačného čísla alebo jedného alebo viacerých faktorov špecifických pre jej fyzickú, fyziologickú, duševnú, hospodársku, kultúrnu alebo sociálnu identitu.
33 Na úvod treba uviesť, že v bode 51 rozsudku z 24. novembra 2011, Scarlet Extended (C‑70/10, EU:C:2011:771), ktorý sa týkal najmä výkladu rovnakej smernice, Súdny dvor v podstate rozhodol, že IP adresy internetových používateľov predstavujú chránené osobné údaje, pretože umožňujú presnú identifikáciu týchto používateľov.
34 Tento záver Súdneho dvora sa však týkal prípadu, v ktorom získavanie a identifikovanie IP adries internetových používateľov vykonávali poskytovatelia internetového pripojenia.
35 V uvedenom prípade sa však prvá otázka týka situácie, v ktorej poskytovateľ online mediálnych služieb, t. j. Spolková republika Nemecko, uchováva IP adresy používateľov internetovej stránky, ktorú tento poskytovateľ služieb sprístupnil verejnosti, bez toho, aby mal k dispozícii ďalšie informácie potrebné na identifikáciu týchto používateľov.
36 Okrem toho je nesporné, že IP adresy, na ktoré odkazuje vnútroštátny súd, predstavujú „dynamické“ IP adresy, a to konkrétne dočasné adresy, ktoré sa prideľujú pri každom internetovom pripojení a pri každých ďalších pripojeniach sa zmenia, a nie „statické“ IP adresy, ktoré sú nemenné a umožňujú trvalú identifikáciu zariadenia pripojeného k sieti.
37 Prvá otázka vnútroštátneho súdu sa teda zakladá na predpoklade, podľa ktorého po prvé údaje spočívajúce v dynamickej IP adrese, ako aj v dátume a čase prehliadania internetovej stránky z tejto IP adresy, uchovávané poskytovateľom online mediálnych služieb, nedávajú samy osobe tomuto poskytovateľovi možnosť identifikovať používateľa, ktorý v rámci uvedeného prehliadania navštívil danú internetovú stránku, a po druhé poskytovateľ internetového pripojenia má k dispozícii ďalšie informácie, ktoré mu po ich spojení s touto IP adresou umožňujú určiť totožnosť uvedeného používateľa.
38 V tejto súvislosti treba najskôr uviesť, že je nepochybné, že dynamická IP adresa nepredstavuje informáciu o „identifikovanej osobe“, keďže takáto adresa priamo neodhaľuje identifikáciu fyzickej osoby, ktorá je majiteľom počítača, z ktorého bola prehliadaná internetová stránka, ani identitu inej osoby, ktorá mohla tento počítač používať.
39 Ďalej na účely určenia, či dynamická IP adresa predstavuje – v prípade uvedenom v bode 37 tohto rozsudku – osobný údaj v zmysle článku 2 písm. a) smernice 96/45 vo vzťahu k poskytovateľovi online mediálnych služieb, treba overiť, či takú IP adresu, akú uchováva takýto poskytovateľ, treba kvalifikovať ako informáciu o „identifikovateľnej osobe“, ak má poskytovateľ internetového pripojenia tohto používateľa k dispozícii ďalšie informácie potrebné na identifikáciu používateľa internetovej stránky, ktorú tento poskytovateľ služieb sprístupnil verejnosti.
40 V tejto súvislosti zo znenia článku. 2 písm. a) smernice 95/46 vyplýva, že identifikovateľná osoba je osoba, ktorú možno identifikovať nielen priamo, ale aj nepriamo.
41 Skutočnosť, že normotvorca Únie použil výraz „nepriamo“, naznačuje, že na to, aby sa mohla informácia kvalifikovať ako osobný údaj, nie je nutné, aby táto informácia umožňovala sama osebe identifikovať dotknutú osobu.
42 Okrem toho z odôvodnenia 26 smernice 95/46 vyplýva, že na určenie toho, či je osoba identifikovateľná, sa majú vziať do úvahy všetky prostriedky, u ktorých je primeraná pravdepodobnosť, že ich využije prevádzkovateľ alebo ľubovoľná iná osoba na identifikáciu príslušnej osoby.
43 Keďže toto odôvodnenie odkazuje na prostriedky, u ktorých je primeraná pravdepodobnosť, že ich využije prevádzkovateľ, alebo „iná osoba“, znenie tohto odôvodnenia nasvedčuje tomu, že aby sa určitý údaj mohol kvalifikovať ako „osobný údaj“ v zmysle článku 2 písm. a) danej smernice, nie je nevyhnutné, aby sa všetky informácie umožňujúce identifikovať dotknutú osobu museli nachádzať v rukách jedinej osoby.
44 Skutočnosť, že ďalšie informácie potrebné na identifikáciu používateľa internetovej stránky nemá k dispozícii poskytovateľ online mediálnych služieb, ale poskytovateľ internetového pripojenia tohto používateľa, tak nemôže vylúčiť, že dynamické IP adresy uchovávané poskytovateľom online mediálnych služieb predstavujú pre tohto poskytovateľa osobné údaje v zmysle článku 2 písm. a) smernice 95/46.
45 Treba však určiť, či možnosť spojenia dynamickej IP adresy s uvedenými ďalšími informáciami, ktoré má k dispozícii tento poskytovateľ internetového pripojenia, predstavuje prostriedok, ktorý môže byť rozumne použitý pre identifikáciu dotknutej osoby.
46 Ako v podstate uviedol generálny advokát v bode 68 svojich návrhov, to nenastane vtedy, keď identifikácia dotknutej osoby je zakázaná právnymi predpismi alebo prakticky neuskutočniteľná, napríklad preto, lebo by si vyžadovala neprimerane veľa času, financií alebo ľudských zdrojov, takže pravdepodobnosť identifikácie sa v skutočnosti javí ako zanedbateľná.
47 Hoci vnútroštátny súd vo svojom návrhu na začatie prejudiciálneho rozhodnutia spresnil, že nemecké právo neumožňuje poskytovateľovi internetového pripojenia priamo odovzdať poskytovateľovi online mediálnych služieb ďalšie informácie potrebné na identifikáciu dotknutej osoby, javí sa však – čo musí overiť vnútroštátny súd –, že existujú právne prostriedky umožňujúce poskytovateľovi online mediálnych služieb obrátiť sa – najmä v prípade počítačových útokov – na príslušný orgán, aby tento orgán podnikol kroky potrebné na získanie daných informácií od poskytovateľa internetového pripojenia a na začatie trestných stíhaní.
48 Poskytovateľ online mediálnych služieb má teda zjavne prostriedky, ktoré môžu byť primerane použité, aby dokázal s pomocou iných osôb, a to príslušného orgánu a poskytovateľa internetového pripojenia, identifikovať dotknutú osobu na základe uchovaných IP adries.
49 Vzhľadom na vyššie uvedené treba na prvú otázku odpovedať tak, že článok 2 písm. a) smernice 95/46 sa má vykladať v tom zmysle, že dynamická IP adresa, ktorú poskytovateľ online mediálnych služieb uchováva v súvislosti s prehliadaním si určitou osobou internetovej stránky, ktorú tento poskytovateľ sprístupnil verejnosti, predstavuje pre tohto poskytovateľa osobný údaj v zmysle tohto ustanovenia, ak má k dispozícii právne prostriedky, na základe ktorých dokáže identifikovať dotknutú osobu vďaka ďalším informáciám, ktorými disponuje poskytovateľ internetového pripojenia tejto osoby.
O druhej otázke
50 Vnútroštátny súd sa svojou otázkou v podstate pýta, či sa má článok 7 písm. f) smernice 95/46 vykladať v tom zmysle, že bráni právnej úprave členského štátu, podľa ktorej môže poskytovateľ online mediálnych služieb zhromažďovať a používať osobné údaje týkajúce sa používateľa týchto služieb bez jeho dovolenia len vtedy, keď je toto zhromažďovanie alebo používanie nevyhnutné na umožnenie využitia online média týmto používateľom a jeho zúčtovanie, bez toho, aby účel zabezpečenia celkovej funkčnosti týchto služieb mohol odôvodniť použitie údajov po skončení príslušnej operácie ich prehliadania.
51 Pred zodpovedaním tejto otázky je potrebné určiť, či spracovanie osobných údajov, o ktoré ide vo veci samej, a to konkrétne dynamických IP adries používateľov niektorých internetových stránok nemeckých spolkových orgánov, nie je vylúčené z pôsobnosti smernice 95/46 na základe článku 3 ods. 2 prvej zarážky tejto smernice, podľa ktorého sa uvedená smernica nevzťahuje na spracovanie osobných údajov, ktorých predmetom sú najmä činnosti štátu v oblasti trestného práva.
52 V tejto súvislosti treba pripomenúť, že činnosti demonštratívne uvedené v uvedenom ustanovení sú v každom prípade činnosti prináležiace štátu a štátnym orgánom a nepatria do oblasti činností jednotlivcov (pozri rozsudky zo 6. novembra 2003, Lindqvist, C‑101/01, EU:C:2003:596, bod 43, a zo 16. decembra 2008, Satakunnan Markkinapörssi a Satamedia, C‑73/07, EU:C:2008:727, bod 41).
53 Vnútroštátny súd musí síce vo veci samej ešte vykonať v tomto ohľade príslušné overenia, no javí sa, že nemecké spolkové orgány, ktoré poskytujú online mediálne služby a ktoré sú správcami dynamických IP adries, konajú aj napriek svojmu postaveniu orgánov verejnej moci v postavení jednotlivcov a mimo rámca činností štátu v oblasti trestného práva.
54 Treba preto určiť, či právna úprava členského štátu, ako je právna úprava vo veci samej, je zlučiteľná s článkom 7 písm. f) smernice 95/46.
55 V tejto súvislosti treba pripomenúť, že vnútroštátna právna úprava ako vo veci samej, vykladaná reštriktívne v zmysle navrhovanom vnútroštátnym súdom, umožňuje zhromažďovanie a používanie osobných údajov týkajúcich sa používateľa uvedených služieb bez jeho dovolenia len vtedy, keď je to nevyhnutné na umožnenie konkrétneho využitia online mediálnych služieb a zúčtovanie tohto využitia dotknutým používateľom, bez toho, aby účel zabezpečenia celkovej funkčnosti online mediálnych služieb mohol odôvodniť použitie uvedených údajov po skončení príslušnej operácie prehliadania týchto služieb.
56 V prejednávanej veci článok 7 písm. f) smernice 95/46 stanovuje, že spracovanie osobných údajov je zákonné, ak je „spracovanie… nevyhnutné [na] účely legitímnych záujmov, ktoré plní [prevádzkovateľ], alebo tretia strana alebo strany, ktorým sú údaje odhalené, s výnimkou, ak takéto záujmy sú prevýšené záujmami týkajúcimi sa základných práv a slobôd [dotknutej osoby], ktoré potrebujú ochranu podľa článku 1 ods. 1“ tejto smernice.
57 Treba pripomenúť, že Súdny dvor rozhodol, že článok 7 uvedenej smernice stanovuje taxatívny zoznam prípadov, v ktorých možno spracovanie osobných údajov považovať za prípustné, a že členské štáty nemôžu ani pridať nové zásady týkajúce sa zákonnosti spracovania osobných údajov do článku 7 smernice 95/46, ani stanoviť dodatočné požiadavky, ktoré by menili rozsah jednej zo šiestich zásad stanovených v tomto článku (pozri v tomto zmysle rozsudok z 24. novembra 2011, ASNEF a FECEMD, C‑468/10 a C‑469/10, EU:C:2011:777, body 30 a 32).
58 Hoci článok 5 smernice 95/46 bezpochyby oprávňuje členské štáty na to, aby v medziach kapitoly II tejto smernice, a teda jej článku 7 spresnili podmienky, za akých je spracovanie osobných údajov zákonné, miera voľnej úvahy, ktorou podľa uvedeného článku 5 disponujú členské štáty, môže byť použitá len v súlade s cieľom, ktorý sleduje smernica 95/46 a ktorým je zachovať rovnováhu medzi voľným pohybom osobných údajov a ochranou súkromia. Podľa článku 5 uvedenej smernice členské štáty nemôžu ani zaviesť iné zásady týkajúce sa zákonnosti spracovania osobných údajov, než sú uvedené v článku 7 smernice, ani meniť dodatočnými požiadavkami rozsah šiestich zásad stanovených v predmetnom článku 7 (pozri v tomto zmysle rozsudok z 24. novembra 2011, ASNEF a FECEMD, C‑468/10 a C‑469/10, EU:C:2011:777, body 33, 34 a 36).
59 V prejednávanej veci je zjavné, že keby sa § 15 TMG vykladal reštriktívne, ako bolo uvedené v bode 55 tohto rozsudku, jeho rozsah by bol užší než rozsah zásady stanovenej v článku 7 písm. f) smernice 95/46.
60 Pokiaľ totiž článok 7 písm. f) uvedenej smernice odkazuje všeobecne na „účely legitímnych záujmov, ktoré plní [prevádzkovateľ], alebo tretia strana alebo strany, ktorým sú údaje odhalené“, ustanovenie § 15 TMG oprávňuje poskytovateľa služieb zhromažďovať a používať osobné údaje používateľa len vtedy, keď je to nevyhnutné na umožnenie konkrétneho využitia online mediálnych služieb a zúčtovanie tohto využitia. Ustanovenie § 15 TMG tak vo všeobecnosti bráni uchovávaniu po skončení operácie prehliadania online mediálnych služieb osobných údajov, aby sa zabezpečilo využívanie týchto služieb. Nemecké spolkové orgány, ktoré poskytujú online mediálne služby, môžu však mať aj oprávnený záujem na tom, aby zabezpečili správne fungovanie svojich internetových stránok, ktoré sú verejne prístupné, a to aj po skončení každého ich jednotlivého využitia.
61 Ako uviedol generálny advokát v bodoch 100 a 101 svojich návrhov, taká právna úprava sa neobmedzuje iba na spresnenie – ako vyplýva z článku 5 smernice 95/46 – pojmu „legitímny záujem“ uvedeného v článku 7 písm. f) tejto smernice.
62 V tejto súvislosti je tiež potrebné pripomenúť, že článok. 7 písm. f) uvedenej smernice bráni tomu, aby členský štát vylúčil kategorickým a všeobecným spôsobom možnosť spracovania určitých kategórií osobných údajov bez toho, aby pripustil zváženie protichodných práv a záujmov, o ktoré ide v konkrétnom prípade. Členský štát teda nemôže stanovovať pre tieto kategórie konečný výsledok vyplývajúci zo zváženia protichodných práv a záujmov bez toho, aby pripustil odlišný výsledok vychádzajúci z osobitných okolností konkrétneho prípadu (pozri v tomto zmysle rozsudok z 24. novembra 2011, ASNEF a FECEMD, C‑468/10 a C‑469/10, EU:C:2011:777, body 47 a 48).
63 Taká právna úprava ako právna úprava vo veci samej však obmedzuje, pokiaľ ide o spracovanie osobných údajov používateľov stránok online mediálnych služieb, rozsah zásady stanovenej v článku 7 písm. f) smernice 95/46 tým, že vylučuje, aby účel zabezpečenia celkovej funkčnosti online mediálnych služieb mohol byť predmetom zváženia so záujmami týkajúcimi sa základných práv a slobôd týchto používateľov, ktoré v súlade s týmto ustanovením potrebujú ochranu podľa článku 1 ods. 1 tejto smernice.
64 Zo všetky predchádzajúcich úvah vyplýva, že na druhú otázku treba odpovedať tak, že článok 7 písm. f) smernice 95/46 sa má vykladať v tom zmysle, že bráni právnej úprave členského štátu, podľa ktorej môže poskytovateľ online mediálnych služieb zhromažďovať a používať osobné údaje týkajúce sa používateľa týchto služieb bez jeho dovolenia len vtedy, keď je toto zhromažďovanie alebo používanie nevyhnutné na umožnenie využitia online média týmto používateľom a jeho zúčtovanie, bez toho, aby účel zabezpečenia celkovej funkčnosti týchto služieb mohol odôvodniť použitie údajov po skončení príslušnej operácie ich prehliadania.
O trovách
65 Vzhľadom na to, že konanie pred Súdnym dvorom má vo vzťahu k účastníkom konania vo veci samej incidenčný charakter a bolo začaté v súvislosti s prekážkou postupu v konaní pred vnútroštátnym súdom, o trovách konania rozhodne tento vnútroštátny súd. Iné trovy konania, ktoré vznikli v súvislosti s predložením pripomienok Súdnemu dvoru a nie sú trovami uvedených účastníkov konania, nemôžu byť nahradené.
Z týchto dôvodov Súdny dvor (druhá komora) rozhodol takto:
1. Článok 2 písm. a) smernice Európskeho parlamentu a Rady 95/46/ES z 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov sa má vykladať v tom zmysle, že dynamická IP adresa, ktorú poskytovateľ online mediálnych služieb uchováva v súvislosti s prehliadaním si určitou osobou internetovej stránky, ktorú tento poskytovateľ sprístupnil verejnosti, predstavuje pre tohto poskytovateľa osobný údaj v zmysle tohto ustanovenia, ak má k dispozícii právne prostriedky, na základe ktorých dokáže identifikovať dotknutú osobu vďaka ďalším informáciám, ktorými disponuje poskytovateľ internetového pripojenia tejto osoby.
2. Článok 7 písm. f) smernice 95/46 sa má vykladať v tom zmysle, že bráni právnej úprave členského štátu, podľa ktorej môže poskytovateľ on‑line mediálnych služieb zhromažďovať a používať osobné údaje týkajúce sa používateľa týchto služieb bez jeho dovolenia len vtedy, keď je toto zhromažďovanie alebo používanie nevyhnutné na umožnenie využitia on‑line média týmto používateľom a jeho zúčtovanie, bez toho, aby účel zabezpečenia celkovej funkčnosti týchto služieb mohol odôvodniť použitie údajov po skončení príslušnej operácie ich prehliadania.
Podpisy