DOMSTOLENS DOM (fjärde avdelningen)
den 11 december 2014 (*)
”Begäran om förhandsavgörande – Direktiv 95/46/EG – Skydd för enskilda personer – Behandling av personuppgifter – Begreppet ’verksamhet av rent privat natur eller som har samband med hans hushåll’”
I mål C‑212/13,
angående en begäran om förhandsavgörande enligt artikel 267 FEUF, framställd av Nejvyšší správní soud (Republiken Tjeckien) genom beslut av den 20 mars 2013, som inkom till domstolen den 19 april 2013, i målet
František Ryneš
mot
Úřad pro ochranu osobních údajů,
meddelar
DOMSTOLEN (fjärde avdelningen)
sammansatt av avdelningsordföranden L. Bay Larsen samt domarna K. Jürimäe, J. Malenovský, M. Safjan (referent) och A. Prechal,
generaladvokat: N. Jääskinen,
justitiesekreterare: handläggaren I. Illéssy,
efter det skriftliga förfarandet och förhandlingen den 20 mars 2014,
med beaktande av de yttranden som avgetts av:
– František Ryneš, genom M. Šalomoun, advokát,
– Úřad pro ochranu osobních údajů, genom I. Němec, advokát och J. Prokeš,
– Tjeckiens regering, genom M. Smolek och J. Vláčil, båda i egenskap av ombud,
– Spaniens regering, genom A. Rubio González, i egenskap av ombud,
– Italiens regering, genom G. Palmieri, i egenskap av ombud, biträdd av P. Gentili, avvocato dello Stato,
– Österrikes regering, genom A. Posch och G. Kunnert, båda i egenskap av ombud,
– Polens regering, genom B. Majczyna, J. Fałdyga och M. Kamejsza, samtliga i egenskap av ombud,
– Portugals regering, genom L. Inez Fernandes och C. Vieira Guerra, båda i egenskap av ombud,
– Förenade kungarikets regering, genom L. Christie, i egenskap av ombud, biträdd av J. Holmes, barrister,
– Europeiska kommissionen, genom B. Martenczuk, P. Němečková och Z. Malůšková, samtliga i egenskap av ombud,
och efter att den 10 juli 2014 ha hört generaladvokatens förslag till avgörande,
följande
Dom
1 Begäran om förhandsavgörande avser tolkningen av artikel 3.2 i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, s. 31).
2 Begäran har framställts i ett mål mellan František Ryneš och Úřad pro ochranu osobních údajů (Myndighet för personuppgiftsskydd) (nedan kallad Úřad). Målet gäller ett beslut genom vilket Úřad fastställde att František Ryneš hade gjort sig skyldig till flera överträdelser med avseende på skyddet av personuppgifter.
Tillämpliga bestämmelser
Unionsrätt
3 Skälen 10, 12 och 14–16 i direktiv 95/46 har följande lydelse:
”10) Ändamålet med den nationella lagstiftningen om behandling av personuppgifter är att skydda grundläggande fri- och rättigheter, särskilt den rätt till privatlivet som erkänns både i artikel 8 i den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna och i gemenskapsrättens allmänna rättsprinciper. Av denna anledning får tillnärmningen av denna lagstiftning inte medföra någon inskränkning i det skydd de ger, utan skall i stället syfta till att garantera en hög skyddsnivå inom gemenskapen.
…
12) … En fysisk persons behandling av uppgifter uteslutande för personliga ändamål eller för hemmabruk, såsom korrespondens eller förande av adressregister, skall dock inte omfattas.
…
14) För närvarande görs inom ramen för informationssamhället betydande framsteg såvitt avser tekniken för att uppta, överföra, bearbeta, registrera, lagra eller lämna ut ljud- eller bilduppgifter om fysiska personer; detta direktiv bör därför tillämpas på behandling av sådana uppgifter.
15) Behandlingen av sådana uppgifter omfattas av detta direktiv endast om den sker med hjälp av automatisk databehandling eller om de uppgifter som behandlas ingår eller avses ingå i ett register som är uppbyggt efter vissa med utgångspunkt i för enskilda personer utformade kriterier för att underlätta tillgång till de berörda uppgifterna.
16) Behandlingen av ljud- och bilduppgifter – exempelvis i samband med videoövervakning – omfattas inte av detta direktiv om den utförs för att tillgodose den allmänna säkerheten, försvaret, statens säkerhet eller statens verksamhet på straffrättens område eller till annan verksamhet som inte faller inom gemenskapsrättens tillämpningsområde”.
4 Artikel 2 i direktivet har följande lydelse:
”I detta direktiv avses med
a) personuppgifter: varje upplysning som avser en identifierad eller identifierbar fysisk person (den registrerade). En identifierbar person är en person som kan identifieras, direkt eller indirekt, framför allt genom hänvisning till … till en eller flera faktorer som är specifika för hans fysiska, … identitet,
…
b) behandling av personuppgifter (behandling): varje åtgärd eller serie av åtgärder som vidtas beträffande personuppgifter, vare sig det sker på automatisk väg eller inte, till exempel insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring,
c) register med personuppgifter (register): varje strukturerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier, oavsett om samlingen är centraliserad, decentraliserad eller spridd på grundval av funktionella eller geografiska förhållanden,
d) registeransvarig: den fysiska … person, … som ensam […] eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. …”
5 Artikel 3 i nämnda direktiv har följande lydelse:
”1. Detta direktiv gäller för sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg liksom för annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register.
2. Detta direktiv gäller inte för sådan behandling av personuppgifter
– som utgör ett led i en verksamhet som inte omfattas av gemenskapsrätten, exempelvis sådan verksamhet som avses i avdelningarna V och VI i Fördraget om Europeiska unionen, och inte under några omständigheter behandlingar som rör allmän säkerhet, försvar, statens säkerhet (inbegripet statens ekonomiska välstånd när behandlingen har samband med frågor om statens säkerhet) och statens verksamhet på straffrättens område,
– av en fysisk person som ett led i verksamhet av rent privat natur eller som har samband med hans hushåll.”
6 Artikel 7 i samma direktiv har följande lydelse:
”Medlemsstaterna skall föreskriva att personuppgifter får behandlas endast om
a) den registrerade otvetydigt har lämnat sitt samtycke, eller
…
f) behandlingen är nödvändig för ändamål som rör berättigade intressen hos den registeransvarige eller hos den eller de tredje män till vilka uppgifterna har lämnats ut, utom när sådana intressen uppvägs av den registrerades intressen eller dennes grundläggande fri- och rättigheter som kräver skydd under artikel 1.1”.
7 I artikel 11 i direktiv 95/46 föreskrivs följande:
”1. Om uppgifterna inte har samlats in från den registrerade, skall medlemsstaterna föreskriva att den registeransvarige …, inte senare än vid den tidpunkt då uppgifterna först lämnas ut, skall ge den registrerade åtminstone följande information, utom när den registrerade redan känner till informationen:
a) Den registeransvariges … identitet.
b) Ändamålen med behandlingen.
c) All ytterligare information, exempelvis
– de kategorier av uppgifter som behandlingen gäller,
– mottagarna eller de kategorier som mottar uppgifterna,
– förekomsten av rättigheter att få tillgång till och att erhålla rättelse av de uppgifter som rör honom,
i den utsträckning som den ytterligare informationen – med hänsyn till de särskilda omständigheter under vilka uppgifterna samlas in – är nödvändig för att tillförsäkra den registrerade en korrekt behandling.
2. Bestämmelserna i punkt 1 skall inte gälla när det – särskilt i samband med behandling för statistiska ändamål eller historiska eller vetenskapliga forskningsändamål – visar sig omöjligt eller innebära en oproportionerligt stor ansträngning att ge information eller om registrering eller utlämnande uttryckligen föreskrivs i författning. I sådana fall skall medlemsstaterna föreskriva lämpliga skyddsåtgärder”.
8 I artikel 13.1 i direktivet föreskrivs följande:
”Medlemsstaterna får genom lagstiftning vidta åtgärder för att begränsa omfattningen av de skyldigheter och rättigheter som anges i artik[el] … 11.1 … i fall då en sådan begränsning är en nödvändig åtgärd med hänsyn till
…
d) förebyggande, undersökning, avslöjande av brott eller åtal för brott eller av överträdelser av etiska regler som gäller för lagreglerade yrken,
…
g) skydd av … andras fri- och rättigheter”.
9 I artikel 18.1 i direktivet föreskrivs följande:
”Medlemsstaterna skall föreskriva att den registeransvarige … före genomförandet av en behandling eller en serie behandlingar som helt eller delvis genomförs på automatisk väg och som har samma eller flera närbesläktade ändamål skall underrätta den tillsynsmyndighet …”.
Tjeckisk rätt
10 I § 3 punkt 3 i lag nr 101/2000 Sb. om personuppgiftsskydd och om ändring av olika lagar (nedan kallad lag nr 101/2000) anges följande:
”Lagen är inte tillämplig på personuppgiftsbehandling som utförs av en fysisk person för enbart privat bruk.”
11 I § 44 punkt 2 i samma lag regleras personuppgiftshanterarens ansvar. Vederbörande begår en överträdelse då han eller hon utan samtycke från berörda personer behandlar personuppgifter, underlåter att informera berörda personer om personuppgiftsbehandlingen eller underlåter att informera tillsynsmyndigheten om behandlingen.
12 I enlighet med § 5 punkt 2 i nämnda lag får personuppgifter i princip endast behandlas med samtycke av den berörda personen. Utan sådant samtycke får personuppgifter behandlas då så är nödvändigt för att skydda personuppgiftshanterarens, mottagarens eller andra berörda personers i lag erkända rättigheter och intressen. Behandlingen får emellertid inte orsaka skada på den berörda personens rätt till respekt för privatliv och personliga liv.
Målet vid den nationella domstolen och tolkningsfrågan
13 Under perioden från den 5 oktober 2007 till den 11 april 2008 använde sig František Ryneš av en kamera som var placerad under takfoten på familjens hus. Den var fast monterad, utan rotationsmöjlighet, och filmade ingången till huset, allmän väg och ingången till huset mitt emot. Utrustningen tillät endast visuell inspelning som lagrades kontinuerligt på en hårddisk. Då hårddisken var full spelades tidigare bilder över av nya. Någon skärm fanns inte installerad, så det var inte möjligt att granska bilderna omedelbart. Det var bara František Ryneš som hade direkt tillgång till utrustningen och inspelningarna.
14 Den hänskjutande domstolen har angett att det enda skälet till att František Ryneš installerade kameran var att skydda sin och sin familjs egendom, hälsa och liv. Såväl han själv som hans familj hade nämligen under flera års tid utsatts för attacker av en okänd gärningsman som inte hade kunnat identifieras. Dessutom hade fönstren till familjens hus krossats vid ett flertal tillfällen mellan åren 2005 och 2007.
15 Natten mellan den 6 och den 7 oktober 2007 skedde ytterligare en attack. En fönsterruta på det aktuella huset krossades med ett skott från en slangbåge. Tack vare den aktuella övervakningskameran kunde två misstänkta gärningsmän identifieras. Inspelningen överlämnades till polisen och anfördes sedan som bevis i brottmålsrättegången.
16 En av de misstänkta gärningsmännen ifrågasatte huruvida František Ryneš övervakningssystem var tillåtet och genom ett beslut av den 4 augusti 2008 konstaterade Úřad att František Ryneš hade åsidosatt lag nr 101/2000 enligt följande:
– Såsom personuppgiftsansvarig hade klaganden – medelst kamerautrustning – samlat in personuppgifter beträffande personer som befann sig på gatan utanför och som gick in i huset på andra sidan gatan, utan att dessa personer lämnat sitt samtycke därtill.
– Berörda personer hade inte underrättats om behandlingen av dessa personuppgifter, behandlingens omfattning och syfte, vem som utförde behandlingen, hur uppgifterna behandlades och inte heller om vilka personer som skulle kunna få tillgång till de aktuella uppgifterna.
– I egenskap av personuppgiftsansvarig hade František Ryneš underlåtit att underrätta Úřad.
17 František Ryneš överklagade detta beslut, men överklagandet ogillades av Městský soud v Praze (domstol i första instans i Prag) genom dom av den 25 april 2012. František Ryneš överklagade därefter den domen till den hänskjutande domstolen.
18 Mot denna bakgrund beslutade Nejvyšší správní soud (Högsta förvaltningsdomstolen) att vilandeförklara målet och ställa följande fråga till domstolen:
”Kan kameraövervakningsutrustning som installerats i en bostad för att skydda husägarnas egendom, hälsa och liv anses utgöra behandling av personuppgifter ’av en fysisk person som ett led i verksamhet av rent privat natur eller som har samband med hans hushåll’ i den mening som avses i artikel 3.2 i direktiv 95/46 …, trots att denna kamerautrustning även övervakar område dit allmänheten har tillträde?”
Prövning av tolkningsfrågan
19 Den hänskjutande domstolen har ställt sin fråga för att få klarhet i huruvida artikel 3.2 i direktiv 95/46 ska tolkas så, att kameraövervakningsutrustning som används för visuell inspelning av människor som lagras kontinuerligt på en hårddisk och som installerats i en bostad för att skydda husägarnas egendom, hälsa och liv – där denna kamerautrustning även övervakar område dit allmänheten har tillträde – ska anses utgöra behandling av personuppgifter som ett led i verksamhet av rent privat natur eller som har samband med hans hushåll i den mening som avses i ovannämnda bestämmelse.
20 Direktivet är enligt artikel 3.1 häri tillämpligt på ”behandling av personuppgifter som helt eller delvis företas på automatisk väg liksom för annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register”.
21 Begreppet personuppgifter, som används i denna bestämmelse, omfattar i enlighet med definitionen i artikel 2 a i direktiv 95/46 ”varje upplysning som avser en identifierad eller identifierbar fysisk person”. En identifierbar person är ”en person som kan identifieras, direkt eller indirekt, framför allt genom hänvisning till … en eller flera faktorer som är specifika för hans fysiska, … identitet”.
22 En bild av en person som registrerats av en kamera utgör, således en personuppgift i den mening som avses i bestämmelsen i föregående punkt, eftersom den gör det möjligt att identifiera den berörda personen.
23 Vad gäller uttrycket ”behandling av personuppgifter” definieras detta i artikel 2 b i direktiv 95/46 såsom ”varje åtgärd eller serie av åtgärder som vidtas beträffande personuppgifter … till exempel insamling, registrering, … lagring”.
24 Det framgår av bland annat skälen 15 och 16 i direktiv 95/46 att videoövervakning i princip omfattas av direktivets tillämpningsområde då det sker med hjälp av automatisk databehandling.
25 Övervakning som sker med hjälp av videoövervakning av människor, såsom i det nationella målet, och som lagras kontinuerligt på en hårddisk utgör behandling av personuppgifter som företas på automatisk väg enligt artikel 3.1 i direktiv 95/46.
26 Den hänskjutande domstolen undrar om en sådan behandling, i en situation som den i det nationella målet, inte är undantagen från tillämpning av direktivet då den sker ”som ett led i verksamhet av rent privat natur eller som har samband med hans hushåll” i den mening som avses i artikel 3.2 i direktivet.
27 Direktiv 95/46 avser, såsom framgår av artikel 1 och skäl 10 häri, att säkerställa en hög skyddsnivå när det gäller fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privatliv, i samband med behandling av personuppgifter (se dom Google Spain och Google, C‑131/12, EU:C:2014:317, punkt 66).
28 Det är härvid viktigt att påpeka att enligt domstolens fasta praxis kräver skyddet av den grundläggande rätten till respekt för privatlivet som stadgas i artikel 7 i Europeiska unionens stadga om de grundläggande rättigheterna att undantag från och begränsningar av skyddet för personuppgifter ska inskränkas till vad som är strängt nödvändigt (dom IPI, C‑473/12, EU:C:2013:715, punkt 39 och dom Digital Rights Ireland m.fl., C-293/12 och C-594/12, EU:C:2014:238, punkt 52).
29 Eftersom bestämmelserna i direktiv 95/46 reglerar behandling av personuppgifter som kan innebära intrång i de grundläggande friheterna och då särskilt i rätten till privatliv, måste bestämmelserna i fråga med nödvändighet tolkas mot bakgrund av de grundläggande rättigheterna i den nämnda stadgan (se dom Google Spain och Google, EU:C:2014:317, punkt 68). Undantaget i artikel 3.2 andra strecksatsen i direktivet ska därför tolkas strikt.
30 En sådan strikt tolkning finner även stöd i bestämmelsens ordalydelse enligt vilken behandling av personuppgifter som inte enbart sker som ett led i verksamhet av privat natur eller som har samband med hans hushåll utan som är av ”rent” privat natur eller som har samband med hans hushåll ska undantas från tillämpningen av direktiv 95/46.
31 Mot denna bakgrund finner domstolen i likhet med vad generaladvokaten slog fast i punkt 53 i sitt förslag till avgörande att behandling av personuppgifter omfattas av undantaget i artikel 3.2 andra strecksatsen i direktiv 95/46 enbart om den sker inom en sfär som är av rent privat natur eller som har samband med uppgiftshanterarens hushåll.
32 Korrespondens och förande av adressregister utgör, såvitt gäller fysiska personer, verksamhet ”uteslutande för personliga ändamål eller för hemmabruk” med avseende på skäl 12 i direktiv 95/46. Detta gäller även om verksamheten av en tillfällighet kan beröra andra personers privatliv.
33 I den mån videoövervakning, såsom den som är aktuell i det nationella målet, även delvis omfattar ett område dit allmänheten har tillträde och därmed går utanför uppgiftshanterarens privata sfär kan denna verksamhet inte anses vara ”av rent privat natur eller som har samband med hans hushåll” i den mening som avses i artikel 3.2 andra strecksatsen i direktiv 95/46.
34 Tillämpningen av bestämmelserna i detta direktiv medger samtidigt, i förekommande fall, att beakta berättigade intressen hos den registeransvarige i enlighet med artiklarna 7 f, 11.2 och 13.1 d och g. Dessa intressen kan i likhet med vad som är aktuellt i det nationella målet avse bland annat att skydda den ansvariges och hans familjs egendom, hälsa och liv.
35 Den ställda frågan ska därför besvaras enligt följande. Artikel 3.2 i direktiv 95/46 ska tolkas så, att kameraövervakningsutrustning som används för visuell inspelning av människor som lagras kontinuerligt på en hårddisk och som installerats i en bostad för att skydda husägarnas egendom, hälsa och liv – där denna kamerautrustning även övervakar område dit allmänheten har tillträde – inte ska anses utgöra behandling av personuppgifter som ett led i verksamhet av rent privat natur eller som har samband med hans hushåll i den mening som avses i ovannämnda bestämmelse.
Rättegångskostnader
36 Eftersom förfarandet i förhållande till parterna i målet vid den nationella domstolen utgör ett led i beredningen av samma mål, ankommer det på den nationella domstolen att besluta om rättegångskostnaderna. De kostnader för att avge yttrande till domstolen som andra än nämnda parter har haft är inte ersättningsgilla.
Mot denna bakgrund beslutar domstolen (fjärde avdelningen) följande:
Artikel 3.2 i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter ska tolkas så, att kameraövervakningsutrustning som används för visuell inspelning av människor som lagras kontinuerligt på en hårddisk och som installerats i en bostad för att skydda husägarnas egendom, hälsa och liv – där denna kamerautrustning även övervakar område dit allmänheten har tillträde – inte ska anses utgöra behandling av personuppgifter som ett led i verksamhet av rent privat natur eller som har samband med hans hushåll i den mening som avses i denna bestämmelse.
Underskrifter