WYROK TRYBUNAŁU (wielka izba)
z dnia 10 lipca 2018 r.(*)
Odesłanie prejudycjalne – Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Dyrektywa 95/46/WE – Zakres stosowania wspomnianej dyrektywy – Artykuł 3 – Gromadzenie danych osobowych przez członków wspólnoty religijnej w ramach ich działalności kaznodziejskiej realizowanej poprzez odwiedzanie kolejnych gospodarstw domowych – Artykuł 2 lit. c) – Pojęcie „zbioru danych” – Artykuł 2 lit. d) – Pojęcie „administratora danych” – Artykuł 10 ust. 1 Karty praw podstawowych Unii Europejskiej
W sprawie C‑25/17
mającej za przedmiot wniosek o wydanie, na podstawie art. 267 TFUE, orzeczenia w trybie prejudycjalnym, złożony przez Korkein hallinto-oikeus (naczelny sąd administracyjny, Finlandia) postanowieniem z dnia 22 grudnia 2016 r., które wpłynęło do Trybunału w dniu 19 stycznia 2017 r., w postępowaniu wszczętym przez:
Tietosuojavaltuutettu
przy udziale:
Jehovan todistajat – uskonnollinen yhdyskunta,
TRYBUNAŁ (wielka izba)
w składzie: K. Lenaerts, prezes, A. Tizzano, wiceprezes, R. Silva de Lapuerta, M.T. von Danwitz (sprawozdawca), J.L. da Cruz Vilaça, J. Malenovský, E. Levits i C. Vajda, prezesi izb, A. Borg Barthet, J.C. Bonichot, A. Arabadjiev, S. Rodin, F. Biltgen, K. Jürimäe i C. Lycos, sędziowie,
rzecznik generalny: P. Mengozzi,
sekretarz: C. Stockholm, administrator,
uwzględniając pisemny etap postępowania i po przeprowadzeniu rozprawy w dniu 28 listopada 2017 r.,
rozważywszy uwagi przedstawione:
– w imieniu tietosuojavaltuutettu przez R. Aarnia, działającego w charakterze pełnomocnika,
– w imieniu Jehovan todistajat – uskonnollinen yhdyskunta przez S.H. Brady’ego, asianajaja, oraz przez P. Muzny’ego,
– w imieniu rządu fińskiego przez H. Leppo, działającą w charakterze pełnomocnika,
– w imieniu rządu czeskiego przez M. Smolka oraz J. Vláčila, działających w charakterze pełnomocników,
– w imieniu rządu włoskiego przez G. Palmieri, działającą w charakterze pełnomocnika, wspieraną przez P. Gentilego, avvocato dello Stato,
– w imieniu Komisji Europejskiej przez P. Aalta, H. Kranenborga oraz D. Nardiego, działających w charakterze pełnomocników,
po zapoznaniu się z opinią rzecznika generalnego na posiedzeniu w dniu 1 lutego 2018 r.,
wydaje następujący
Wyrok
1 Wniosek o wydanie orzeczenia w trybie prejudycjalnym dotyczy wykładni art. 2 lit. c) i d) oraz art. 3 dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.U. 1995, L 281, s. 31) w świetle art. 10 ust. 1 Karty praw podstawowych Unii Europejskiej (zwanej dalej „kartą”).
2 Wniosek ten został złożony w ramach postępowania wszczętego przez tietosuojavaltuutettu (inspektora ochrony danych, Finlandia) w przedmiocie zgodności z prawem decyzji tietosuojalautakunta (komisji ds. ochrony danych, Finlandia) zakazującej Jehovan todistajat – uskonnollinen yhdyskunta (wspólnocie religijnej świadków Jehowy, zwanej dalej „wspólnotą świadków Jehowy”) gromadzenia lub przetwarzania danych osobowych w ramach działalności kaznodziejskiej realizowanej poprzez odwiedzanie kolejnych gospodarstw domowych, o ile nie będą przestrzegane określone w ustawodawstwie fińskim warunki przetwarzania danych osobowych.
Ramy prawne
Prawo Unii
3 Motywy 10, 12, 15, 26 i 27 dyrektywy 95/46 brzmią następująco:
„(10) Celem krajowych przepisów prawa dotyczących przetwarzania danych osobowych jest ochrona podstawowych praw i wolności, szczególnie prawa do prywatności, które zostało uznane zarówno w art. 8 europejskiej Konwencji o ochronie praw człowieka i podstawowych wolności [podpisanej w Rzymie w dniu 4 listopada 1950 r.] oraz w zasadach ogólnych prawa wspólnotowego; z tego powodu zbliżanie przepisów prawa nie powinno wpłynąć na zmniejszenie ochrony, jaką gwarantują, lecz przeciwnie, musi dążyć do zapewnienia jak najwyższego stopnia ochrony we Wspólnocie.
[…]
(12) Zasady ochrony muszą odnosić się do całokształtu przetwarzania danych osobowych przez każdą osobę, której działania podlegają przepisom prawa wspólnotowego; należy wyłączyć przetwarzanie danych dokonywane przez osobę fizyczną w wykonywaniu działań o charakterze wyłącznie osobistym lub domowym, jak np. korespondencja i przechowywanie spisów adresów.
[…]
(15) Przetwarzanie tych danych jest objęte niniejszą dyrektywą tylko wówczas, gdy jest ono zautomatyzowane lub jeśli dane zawarte są lub [są] przeznaczone do umieszczenia w zamkniętym układzie zbiorów, zorganizowanym według określonych kryteriów dotyczących osób fizycznych w celu zapewnienia łatwego dostępu do wspomnianych danych osobowych.
[…]
(26) Zasady ochrony danych muszą odnosić się do wszelkich informacji dotyczących zidentyfikowanych lub możliwych do zidentyfikowania osób; w celu ustalenia, czy daną osobę można zidentyfikować, należy wziąć pod uwagę wszystkie sposoby, jakimi może posłużyć się administrator danych lub inna osoba w celu zidentyfikowania owej osoby […].
(27) Ochrona osób fizycznych musi odnosić się zarówno do automatycznego przetwarzania danych, jak i ręcznego przetwarzania; zakres tej ochrony nie może w swym skutku być zależny od zastosowanych technik, ponieważ w przeciwnym razie wystąpiłoby poważne ryzyko obchodzenia zasad; niemniej odnośnie do ręcznego przetwarzania danych, niniejsza dyrektywa obejmuje jedynie zbiory danych, nie zaś niezorganizowane zbiory; w szczególności zawartość zbiorów musi być zorganizowana według określonych kryteriów dotyczących osób fizycznych, zapewniających łatwy dostęp do danych; zgodnie z definicją zawartą w art. 2 lit. c) poszczególne państwa członkowskie mogą określić różne kryteria określania części składowych zorganizowanego zestawu danych oraz różne kryteria dostępu do takiego zestawu; zbiory lub zestawy zbiorów oraz ich strony tytułowe, które nie są zorganizowane według określonych kryteriów nie powinny w żadnych okolicznościach wchodzić w zakres niniejszej dyrektywy”.
4 Artykuł 1 ust. 1 dyrektywy 95/46 stanowi:
„Zgodnie z przepisami niniejszej dyrektywy państwa członkowskie zobowiązują się chronić podstawowe prawa i wolności osób fizycznych, w szczególności ich prawo do prywatności w odniesieniu do przetwarzania danych osobowych”.
5 Artykuł 2 tej dyrektywy przewiduje:
„Do celów niniejszej dyrektywy:
a) »dane osobowe« oznaczają wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej (»osoby, której dotyczą dane«), przy czym osoba możliwa do zidentyfikowania to taka osoba, która może zostać zidentyfikowana bezpośrednio lub pośrednio, w szczególności na podstawie numeru identyfikacyjnego lub co najmniej jednej cechy szczególnej związanej z jej tożsamością fizyczną, fizjologiczną, psychiczną, ekonomiczną, kulturową czy społeczną;
b) »przetwarzanie danych osobowych« (»przetwarzanie«) oznacza każdą operację lub zestaw operacji dokonywanych na danych osobowych przy pomocy środków zautomatyzowanych lub innych, jak np. gromadzenie, rejestracja, porządkowanie, przechowywanie, adaptacja lub modyfikacja, odzyskiwanie, konsultowanie, wykorzystywanie, ujawnianie poprzez transmisję, rozpowszechnianie lub udostępnianie w inny sposób, układanie lub kompilowanie, blokowanie, usuwanie lub niszczenie;
c) »zbiór danych« (»zbiór«) oznacza każdy uporządkowany zestaw danych osobowych, dostępnych według określonych kryteriów, scentralizowan[y], zdecentralizowan[y] lub rozproszon[y] funkcjonalnie lub geograficznie;
d) »administrator danych« oznacza osobę fizyczną lub prawną, władzę publiczną, agencję lub inny organ, który samodzielnie lub wspólnie z innymi podmiotami określa cele i sposoby przetwarzania danych; jeżeli cele i sposoby przetwarzania danych są określane w przepisach ustawowych i wykonawczych lub przepisach wspólnotowych, administrator danych może być powoływany lub kryteria jego powołania mogą być ustalane przez ustawodawstwo krajowe lub wspólnotowe;
[…]”.
6 Zgodnie z art. 3 wspomnianej dyrektywy:
„1. Niniejsza dyrektywa stosuje się do przetwarzania danych osobowych w całości lub w części w sposób zautomatyzowany oraz innego przetwarzania danych osobowych, stanowiących część zbioru danych lub mających stanowić część zbioru danych.
2. Niniejsza dyrektywa nie ma zastosowania do przetwarzania danych osobowych:
– w ramach działalności wykraczającej poza zakres prawa Wspólnoty, jak np. dane, o których stanowi tytuł V i VI Traktatu o Unii Europejskiej, a w żadnym razie do działalności na rzecz bezpieczeństwa publicznego, obronności, bezpieczeństwa państwa (łącznie z dobrą kondycją gospodarczą państwa, gdy działalność ta dotyczy spraw związanych z bezpieczeństwem państwa) oraz działalności państwa w obszarach prawa karnego,
– przez osobę fizyczną w trakcie czynności o czysto osobistym lub domowym charakterze”.
Prawo fińskie
7 Dyrektywa 95/46 została transponowana do prawa fińskiego za pomocą henkilötietolaki (523/1999) [ustawy o danych osobowych (523/1999), zwanej dalej „ustawą nr 523/1999”].
8 Paragraf 2 tej ustawy, zatytułowany „Soveltamisala” (zakres stosowania), przewiduje w akapitach drugim i trzecim:
„Niniejsza ustawa stosuje się do automatycznego przetwarzania danych osobowych. Niniejsza ustawa stosuje się również do innych sposobów przetwarzania danych osobowych, jeżeli stanowią one zbiór danych osobowych lub część zbioru danych osobowych albo mają stanowić zbiór danych osobowych lub część zbioru danych osobowych.
Niniejsza ustawa nie ma zastosowania do przetwarzania danych osobowych dokonywanego przez osobę fizyczną dla celów wyłącznie osobistych lub dla porównywalnych zwykłych celów prywatnych”.
9 Paragraf 3 ust. 3 ustawy nr 523/1999 definiuje „zbiór danych osobowych” jako „zestaw danych osobowych zawierający informacje pogrupowane ze względu na ich przeznaczenie, przetwarzane całkowicie lub częściowo za pomocą środków zautomatyzowanych, lub które są zorganizowane za pomocą fiszek, rejestrów lub w inny podobny sposób umożliwiający odnajdywanie danych dotyczących określonej osoby w sposób łatwy i bez ponoszenia nadmiernych kosztów”.
10 Zgodnie z § 44 tej ustawy komisja ds. ochrony danych może, na wniosek inspektora ochrony danych, zakazać przetwarzania danych osobowych, które jest sprzeczne ze wspomnianą ustawą lub przepisami i instrukcjami wydanymi na jej podstawie, oraz wyznaczyć zainteresowanym termin na usunięcie niezgodnego z prawem działania lub stwierdzonego zaniechania.
Postępowanie główne i pytania prejudycjalne
11 W dniu 17 września 2013 r. komisja ds. ochrony danych wydała na wniosek inspektora ochrony danych decyzję zakazującą wspólnocie świadków Jehowy gromadzenia i przetwarzania danych osobowych w ramach działalności kaznodziejskiej realizowanej przez jej członków poprzez odwiedzanie kolejnych gospodarstw domowych, o ile nie będą przestrzegane warunki prawne przetwarzania takich danych, przewidziane w §§ 8 i 12 ustawy nr 523/1999. Ponadto na podstawie § 44 ust. 2 tej ustawy komisja ds. ochrony danych zobowiązała tę wspólnotę do spowodowania zaprzestania w terminie sześciu miesięcy gromadzenia jakichkolwiek danych osobowych dla celów wspomnianej wspólnoty, o ile nie będą przestrzegane wspomniane warunki.
12 W uzasadnieniu swojej decyzji komisja ds. ochrony danych uznała, że rozpatrywane gromadzenie danych przez członków wspólnoty świadków Jehowy stanowi przetwarzanie danych osobowych w rozumieniu wspomnianej ustawy oraz że wspólnota ta i jej członkowie są łącznie administratorami danych w tym wypadku.
13 Wspólnota świadków Jehowy wniosła do Helsingin hallinto-oikeus (sądu administracyjnego w Helsinkach, Finlandia) skargę na tę decyzję. W wyroku z dnia 18 grudnia 2014 r. sąd uchylił wspomnianą decyzję z uzasadnieniem, w szczególności, że wspólnota świadków Jehowy nie jest administratorem danych osobowych w rozumieniu ustawy nr 523/1999, a jej działalność nie obejmuje niezgodnego z prawem przetwarzania takich danych.
14 Inspektor ochrony danych zaskarżył ten wyrok do Korkein hallinto-oikeus (najwyższego sądu administracyjnego, Finlandia).
15 Zgodnie z ustaleniami tego sądu w ramach działalności kaznodziejskiej realizowanej poprzez odwiedzanie kolejnych gospodarstw domowych członkowie wspólnoty świadków Jehowy sporządzają notatki o wizytach złożonych osobom nieznanym ani im, ani wspomnianej wspólnocie. Zgromadzone dane mogą między innymi obejmować nazwiska i adresy odwiedzonych osób oraz informacje dotyczące ich przekonań religijnych i sytuacji rodzinnej. Dane te są gromadzone jako zapiski ku pamięci i po to, by można je odnaleźć dla potrzeb ewentualnej późniejszej wizyty, przy czym zainteresowane osoby nie są proszone o wyrażenie na to zgody ani o tym informowane.
16 Także według ustaleń sądu odsyłającego wspólnota świadków Jehowy udzieliła swoim członkom wytycznych dotyczących sporządzania takich notatek, jako że wytyczne te są zawarte w co najmniej jednym z jej czasopism poświęconych działalności kaznodziejskiej. Wspólnota ta i zbory, które od niej zależą, organizują i koordynują działalność kaznodziejską realizowaną przez ich członków poprzez odwiedzanie kolejnych gospodarstw domowych, w szczególności sporządzając mapy podziału obszarów pomiędzy członków podejmujących działalność kaznodziejską oraz prowadząc kartoteki dotyczące głosicieli i liczby rozpowszechnionych przez nich publikacji wydawanych przez wspólnotę. Ponadto zbory wspólnoty świadków Jehowy prowadzą listy osób, które oświadczyły, że nie życzą już sobie wizyt członków głosicieli, a członkowie tej wspólnoty korzystają z danych osobowych umieszczonych na takiej liście, zwanej „listą zakazów”. Wreszcie wspólnota świadków Jehowy w przeszłości przekazywała do dyspozycji swoich członków formularze dla celów gromadzenia wspomnianych danych w trakcie ich działalności kaznodziejskiej. Zaprzestano jednak korzystania z formularzy w następstwie zalecenia inspektora ochrony danych.
17 Sąd odsyłający zauważa, że zgodnie z własnymi wskazaniami wspólnoty świadków Jehowy nie wymaga ona od swoich członków głosicieli gromadzenia danych, a w przypadku gdy takie gromadzenie ma jednak miejsce, nie ma żadnej wiedzy o charakterze sporządzanych notatek, które pozostają jedynie nieformalnymi notatkami osobistymi, ani na temat tego, którzy członkowie głosiciele dokonują takiego gromadzenia.
18 Co się tyczy niezbędności rozpatrywanego wniosku o wydanie orzeczenia w trybie prejudycjalnym, Korkein hallinto-oikeus (najwyższy sąd administracyjny) uważa, że rozpoznanie sprawy głównej wymaga uwzględnienia, po pierwsze, prawa do ochrony prywatności i do ochrony danych osobowych oraz, po drugie, wolności wyznania i zrzeszania się, gwarantowanych zarówno przez kartę i europejską Konwencję o ochronie praw człowieka i podstawowych wolności, jak i konstytucję fińską.
19 Sąd odsyłający skłania się do uznania, że działalność kaznodziejska obejmująca odwiedzanie kolejnych gospodarstw domowych praktykowana przez członków wspólnoty religijnej takiej jak wspólnota świadków Jehowy nie należy do działań wyłączonych z zakresu stosowania dyrektywy 95/46 na podstawie art. 3 ust. 2 tiret pierwsze tej dyrektywy. Natomiast powstaje pytanie, czy działalność tę cechuje czysto osobisty lub domowy charakter w rozumieniu art. 3 ust. 2 tiret drugie wspomnianej dyrektywy. W tym względzie należy wziąć pod uwagę okoliczność, że w niniejszym przypadku gromadzone dane wykraczają poza zwykłe notatki zawarte w skorowidzu adresowym, ponieważ sporządzane notatki odnoszą się do nieznanych osób i zawierają dane wrażliwe dotyczące ich przekonań religijnych. Należy również uwzględnić okoliczność, że działalność kaznodziejska realizowana poprzez odwiedzanie kolejnych gospodarstw domowych stanowi istotną formę działania wspólnoty świadków Jehowy, zorganizowaną i koordynowaną przez nią i przez jej zbory.
20 Ponadto ponieważ gromadzone dane rozpatrywane w postępowaniu głównym są przetwarzane w sposób niezautomatyzowany, należy ustalić w świetle art. 3 ust. 1 dyrektywy 95/46 w związku z art. 2 lit. c) tej dyrektywy, czy zestaw tych danych stanowi zbiór w rozumieniu tych przepisów. Według informacji przekazanych przez wspólnotę świadków Jehowy wspomniane dane nie są jej przekazywane, tak że nie można wiedzieć z pewnością, jaki jest charakter i zakres gromadzonych danych. Jednak możliwe jest uznanie, że celem gromadzenia i późniejszego przetwarzania danych rozpatrywanych w postępowaniu głównym jest możliwość łatwego odnalezienia danych dotyczących określonej osoby lub adresu w zamiarze późniejszego wykorzystania. Gromadzone dane nie są jednak uporządkowane w postaci kartotek.
21 Na wypadek gdyby przetwarzanie danych rozpatrywanych w postępowaniu głównym było objęte zakresem stosowania dyrektywy 95/46, sąd odsyłający podkreśla, że pojawia się pytanie, czy wspólnotę świadków Jehowy należy uznać za administratora tych danych w rozumieniu art. 2 lit. d) tej dyrektywy. W orzecznictwie Trybunału wynikającym z wyroku z dnia 13 maja 2014 r., Google Spain i Google (C‑131/12, EU:C:2014:317), pojęcie „administratora danych” zdefiniowano w sposób szeroki. Ponadto jak wynika z opinii 1/2010 z 16 lutego 2010 r. w sprawie pojęć „administratora danych” i „przetwarzającego”, wydanej przez grupę roboczą powołaną na mocy art. 29 dyrektywy 95/46, należy wziąć pod uwagę w szczególności możliwość skutecznej kontroli oraz koncepcję administratora danych, jaką ma osoba, której dane są przetwarzane.
22 W niniejszym zaś przypadku należy mieć na względzie okoliczność, że wspólnota świadków Jehowy organizuje, koordynuje i wspiera działalność kaznodziejską realizowaną poprzez odwiedzanie kolejnych gospodarstw domowych i że w swoich publikacjach udzielała wytycznych w sprawie gromadzenia danych w ramach tej działalności. Ponadto inspektor ochrony danych stwierdził, że wspólnota ta dysponuje rzeczywistymi uprawnieniami w zakresie ustalania metod przetwarzania danych oraz zakazywania lub ograniczenia wspomnianego przetwarzania, a uprzednio określała cel i sposoby przetwarzania, udzielając wytycznych w sprawie gromadzenia danych. Ponadto formularze wykorzystywane w przeszłości świadczą również o silnym zaangażowania wspomnianej wspólnoty w przetwarzanie danych.
23 Jednakże należy również wziąć pod uwagę okoliczność, że członkowie wspólnoty świadków Jehowy mogą sami decydować o gromadzeniu danych oraz określać sposoby takiego gromadzenia. Ponadto wspólnota ta sama nie gromadzi danych i nie ma dostępu do danych zgromadzonych przez jej członków, z wyjątkiem tych, które są zawarte na tzw. liście „zakazów”. Niemniej jednak takie okoliczności nie stanowią przeszkody dla możliwości istnienia większej liczby administratorów danych, przy czym każdy z nich pełniłby różne zadania i obowiązki.
24 W tych okolicznościach Korkein hallinto-oikeus (naczelny sąd administracyjny) postanowił zawiesić postępowanie i zwrócić się do Trybunału z następującymi pytaniami prejudycjalnymi:
„1) Czy przewidziane w art. 3 ust. 2 tiret pierwsze i drugie dyrektywy [95/46] wyjątki dotyczące zakresu stosowania tej dyrektywy powinny być interpretowane w ten sposób, że dokonywane przez członków wspólnoty religijnej zbieranie i inne przetwarzanie danych osobowych mające miejsce w związku działalnością kaznodziejską realizowaną poprzez odwiedzanie kolejnych gospodarstw domowych nie jest objęte zakresem stosowania tej dyrektywy? Jakie znaczenie dla oceny możliwości stosowania dyrektywy [95/46] ma z jednej strony okoliczność, że działalność kaznodziejska, w ramach której zbierane są te dane, jest organizowana przez wspólnotę religijną i jej zbory, a z drugiej strony, że stanowi ona jednocześnie indywidualną praktykę religijną członków wspólnoty religijnej?
2) Czy definicja pojęcia »zbioru danych« zawarta w art. 2 lit. c) dyrektywy [95/46] powinna być, uwzględniając motywy 26 i 27 tej dyrektywy, interpretowana w ten sposób, że całość danych osobowych, które nie są zbierane w sposób zautomatyzowany w związku z opisaną powyżej działalnością kaznodziejską realizowaną poprzez odwiedzanie kolejnych gospodarstw domowych (nazwisko i adres oraz inne możliwe dane i charakterystyki dotyczące osoby):
a) nie stanowi takiego zbioru danych z tego powodu, że kartoteki lub rejestry lub też inne systemy porządkujące służące wyszukiwaniu nie są wyraźnie objęte definicją zawartą w [ustawie nr 523/1999], lub
b) stanowi taki zbiór danych z tego powodu, że z danych tych, uwzględniając ich przeznaczenie, w rzeczywistości łatwo i bez nadmiernych kosztów mogą zostać uzyskane informacje potrzebne do dalszego wykorzystania, tak jak jest to przewidziane w [ustawie nr 523/1999]?
3) Czy zwrot »[…] który samodzielnie lub wspólnie z innymi podmiotami określa cele i sposoby przetwarzania danych […]« zawarty w art. 2 lit. d) dyrektywy [95/46] należy interpretować w ten sposób, że wspólnota religijna, która organizuje działania, w ramach których zbierane są dane osobowe (między innymi przez podział obszarów aktywności osób prowadzących działalność kaznodziejską, przez obserwację działalności kaznodziejskiej oraz utrzymywanie rejestrów z osobami nieżyczącymi sobie wizyt głosicieli) w odniesieniu do tej działalności jej członków może być uznana za administratora danych, chociaż wspólnota religijna wskazuje, że jedynie poszczególni głosiciele mają dostęp do zgromadzonych informacji?
4) Czy wskazany art. 2 lit. d) [dyrektywy 95/46] powinien być interpretowany w ten sposób, że wspólnota religijna może być jedynie wówczas uznana za administratora danych, gdy stosuje inne szczególne środki, jak pisemne wytyczne lub instrukcje, za pomocą których kieruje zbieraniem danych, czy też wystarczy, że wspólnota religijna odgrywa faktyczną rolę w kierowaniu działaniami swoich członków?
Udzielenie odpowiedzi na pytania trzecie i czwarte jest jedynie wówczas konieczne, gdy z uwagi na odpowiedź na pytania pierwsze i drugie należy stosować dyrektywę [95/46]. Udzielenie odpowiedzi na pytanie czwarte jest konieczne jedynie wówczas, gdy z uwagi na odpowiedź na pytanie trzecie nie można wykluczyć stosowania art. 2 lit. d) dyrektywy [95/46] do wspólnoty religijnej”.
W przedmiocie żądań otwarcia ustnego etapu postępowania na nowo
25 Dwoma pismami złożonymi w sekretariacie Trybunału w dniach 12 grudnia 2017 r. i 15 lutego 2018 r. wspólnota świadków Jehowy wniosła o zarządzenie otwarcia ustnego etapu postępowania na nowo na podstawie art. 83 regulaminu postępowania przed Trybunałem Sprawiedliwości. Na poparcie pierwszego z tych wniosków wspólnota świadków Jehowy podnosi w szczególności, że nie uzyskała ona na rozprawie możliwości ustosunkowania się do uwag przedłożonych przez inne strony, które w pewnym zakresie nie odpowiadały okolicznościom faktycznym postępowania głównego. Co się tyczy drugiego z tych wniosków, wspomniana wspólnota twierdzi w istocie, że opinia rzecznika generalnego opiera się na niedokładnych lub potencjalnie wprowadzających w błąd okolicznościach faktycznych, z których pewne nie zostały ujęte we wniosku o wydanie orzeczenia w trybie prejudycjalnym.
26 Na podstawie art. 83 regulaminu postępowania przed Trybunałem Sprawiedliwości Trybunał może, w każdej chwili, po zapoznaniu się ze stanowiskiem rzecznika generalnego, postanowić o otwarciu lub otwarciu ustnego etapu postępowania na nowo, w szczególności jeśli uzna, że okoliczności zawisłej przed nim sprawy nie są wystarczająco wyjaśnione, lub jeśli po zamknięciu ustnego etapu postępowania strona przedstawiła nowy fakt mogący mieć decydujące znaczenie dla rozstrzygnięcia Trybunału, lub też jeśli sprawa ma zostać rozstrzygnięta na podstawie argumentu, który nie był przedmiotem dyskusji między stronami lub podmiotami określonymi w art. 23 statutu Trybunału Sprawiedliwości Unii Europejskiej.
27 W niniejszym zaś przypadku sytuacja taka nie ma miejsca. W szczególności wnioski wspólnoty świadków Jehowy zmierzające do zarządzenia otwarcia ustnego etapu postępowania na nowo nie przytaczają żadnego nowego argumentu, na podstawie którego niniejsza sprawa miałaby zostać rozstrzygnięta. Ponadto strona ta oraz inne podmioty, o których w art. 23 statutu Trybunału Sprawiedliwości Unii Europejskiej, przedstawiły zarówno w toku pisemnego, jak i ustnego etapu postępowania uwagi dotyczące wykładni art. 2 lit. c) i d) oraz art. 3 dyrektywy 95/46 w związku z art. 10 karty, będących przedmiotem pytań prejudycjalnych.
28 Co się tyczy okoliczności faktycznych postępowania głównego, należy przypomnieć, że w ramach postępowania, o którym mowa w art. 267 TFUE, jedynie do sądu krajowego należy ustalenie stanu faktycznego, w jaki wpisują się pytania kierowane przez niego do Trybunału. Wynika stąd, że strona postępowania głównego nie może twierdzić, iż niektóre z założeń faktycznych, na których opierają się argumenty podniesione przez inne podmioty wskazane w art. 23 statutu Trybunał Sprawiedliwości Unii Europejskiej lub też analiza rzecznika generalnego, są nieścisłe, aby uzasadnić otwarcie ustnego etapu postępowania na nowo na podstawie art. 83 regulaminu postępowania (zob. podobnie wyrok z dnia 26 czerwca 2008 r., Burda, C‑284/06, EU:C:2008:365, pkt 44, 45, 47).
29 W tych okolicznościach Trybunał, po wysłuchaniu rzecznika generalnego, uważa, że dysponuje wszelkimi danymi niezbędnymi do udzielenia odpowiedzi na pytania zadane przez sąd odsyłający i że niniejsza sprawa nie wymaga rozstrzygnięcia na podstawie argumentów, który nie były przedmiotem dyskusji. Wnioski o otwarcie ustnego etapu postępowania na nowo należy więc oddalić.
W przedmiocie dopuszczalności wniosku o wydanie orzeczenia w trybie prejudycjalnym
30 Wspólnota świadków Jehowy podnosi, że wniosek o wydanie orzeczenia w trybie prejudycjalnym jest niedopuszczalny. Kwestionując główne okoliczności faktyczne, na których opiera się ten wniosek, twierdzi ona, że odnosi się on do zachowania niektórych z jej członków, którzy nie są stronami postępowania głównego. Zatem wspomniany wniosek dotyczy problemu natury hipotetycznej.
31 W tym względzie trzeba wskazać, że jedynie do sądu krajowego, przed którym zawisł spór i na którym spoczywa odpowiedzialność za przyszły wyrok, należy, z uwzględnieniem okoliczności konkretnej sprawy, zarówno ocena, czy dla wydania wyroku jest mu niezbędne uzyskanie orzeczenia prejudycjalnego, jak i ocena znaczenia pytań, które zadaje on Trybunałowi. W konsekwencji, jeśli postawione pytania dotyczą wykładni prawa Unii, Trybunał jest co do zasady zobowiązany do wydania orzeczenia. Odmowa wypowiedzenia się przez Trybunał w przedmiocie pytania prejudycjalnego przedstawionego przez sąd krajowy jest możliwa tylko wtedy, gdy jest oczywiste, że wykładnia prawa Unii, o którą wnioskowano, nie ma żadnego związku ze stanem faktycznym lub z przedmiotem sporu w postępowaniu głównym, gdy problem jest natury hipotetycznej bądź gdy Trybunał nie dysponuje informacjami w zakresie stanu faktycznego lub prawnego niezbędnymi do udzielenia przydatnej odpowiedzi na pytania, które zostały mu postawione (zob. podobnie wyrok z dnia 27 czerwca 2017 r., Congregación de Escuelas Pías Provincia Betania, C‑74/16, EU:C:2017:496, pkt 24, 25 i przytoczone tam orzecznictwo).
32 W niniejszym przypadku postanowienie odsyłające zawiera informacje w zakresie stanu faktycznego i prawnego wystarczające dla zrozumienia zarówno pytań prejudycjalnych, jak i ich zakresu. Ponadto, co najważniejsze, żaden element akt sprawy nie pozwala uznać, że żądana wykładnia prawa Unii nie ma związku ze stanem faktycznym lub przedmiotem sporu w postępowaniu głównym lub ma charakter hipotetyczny, w szczególności z uwagi na to, że członkowie wspólnoty świadków Jehowy, których działalność w zakresie gromadzenia danych osobowych leży u podstaw pytań prejudycjalnych, nie są stroną postępowania głównego. Z postanowienia odsyłającego wynika bowiem, że pytania prejudycjalne mają na celu umożliwienie sądowi krajowemu określenia, czy wspólnota ta może sama zostać uznana za odpowiedzialną, w rozumieniu dyrektywy 95/46, za gromadzenie danych osobowych przez jej członków w ramach ich działalności kaznodziejskiej realizowanej poprzez odwiedzanie kolejnych gospodarstw domowych.
33 W tych okolicznościach wniosek o wydanie orzeczenia w trybie prejudycjalnym jest dopuszczalny.
W przedmiocie pytań prejudycjalnych
W przedmiocie pytania pierwszego
34 Poprzez pytanie pierwsze sąd odsyłający dąży w istocie do ustalenia, czy art. 3 ust. 2 dyrektywy 95/46 w świetle art. 10 ust. 1 karty należy interpretować w ten sposób, że gromadzenie danych osobowych przez członków wspólnoty religijnej w ramach działalności kaznodziejskiej realizowanej poprzez odwiedzanie kolejnych gospodarstw domowych i późniejsze przetwarzanie tych danych stanowi przetwarzanie danych osobowych w ramach działalności, o której mowa w art. 3 ust. 2 tiret pierwsze tej dyrektywy, lub przetwarzanie danych osobowych przez osobę fizyczną w trakcie czynności o czysto osobistym lub domowym charakterze w rozumieniu art. 3 ust. 2 tiret drugie wspomnianej dyrektywy.
35 Aby udzielić odpowiedzi na to pytanie, należy przede wszystkim przypomnieć, że – jak wynika z art. 1 ust. 1 i z motywu 10 dyrektywy 95/46 – jej celem jest zapewnienie wysokiego poziomu ochrony podstawowych praw i wolności osób fizycznych, a szczególnie prawa do prywatności w zakresie przetwarzania danych osobowych (wyroki: z dnia 13 maja 2014 r., Google Spain i Google, C‑131/12, EU:C:2014:317, pkt 66; a także z dnia 5 czerwca 2018 r., Wirtschaftsakademie Schleswig-Holstein, C‑210/16, EU:C:2018:388, pkt 26).
36 Artykuł 3 dyrektywy 95/46, który określa jej zakres obowiązywania, stanowi w ust. 1, że stosuje się ona do przetwarzania danych osobowych w całości lub w części w sposób zautomatyzowany oraz do innego przetwarzania danych osobowych, stanowiących część zbioru danych lub mających stanowić część zbioru danych.
37 Ów art. 3 przewiduje jednakże w ust. 2 dwa wyjątki od zakresu stosowania wspomnianej dyrektywy, które muszą podlegać ścisłej wykładni (zob. podobnie wyroki: z dnia 11 grudnia 2014 r., Ryneš, C‑212/13, EU:C:2014:2428, pkt 29; a także z dnia 27 września 2017 r., Puškár, C‑73/16, EU:C:2017:725, pkt 38). Ponadto dyrektywa 95/46 nie przewiduje żadnego dodatkowego ograniczenia jej zakresu stosowania (wyrok z dnia 16 grudnia 2008 r., Satakunnan Markkinapörssi i Satamedia, C‑73/07, EU:C:2008:727, pkt 46).
38 Co się tyczy w pierwszej kolejności wyjątku określonego w art. 3 ust. 2 tiret pierwsze dyrektywy 95/46, orzeczono już, że rodzaje działalności, które zostały w nim wymienione tytułem przykładu, stanowią w każdym wypadku działalność właściwą państwom i władzom państwowym, odmienną od dziedzin działalności podmiotów indywidualnych. Te rodzaje działalności mają na celu określenie zakresu wyłączenia przewidzianego we wspomnianym przepisie w taki sposób, że to wyłączenie ma zastosowanie wyłącznie do takich działalności, które zostały w nim wyraźnie wymienione lub które mogą być zaliczone do tej samej kategorii (wyroki: z dnia 6 listopada 2003 r., Lindqvist, C‑101/01, EU:C:2003:596, pkt 43, 44; z dnia 16 grudnia 2008 r., Satakunnan Markkinapörssi i Satamedia, C‑73/07, EU:C:2008:727, pkt 41; a także z dnia 27 września 2017 r., Puškár, C‑73/16, EU:C:2017:725, pkt 36, 37).
39 W niniejszym zaś przypadku gromadzenie danych osobowych przez członków wspólnoty świadków Jehowy w ramach działalności kaznodziejskiej realizowanej poprzez odwiedzanie kolejnych gospodarstw domowych stanowi wyłącznie aktywność religijną jednostek. Wynika z tego, że taka działalność nie stanowi działalności właściwej władzom państwowym i w konsekwencji nie może zostać utożsamiona z rodzajami działalności określonymi w art. 3 ust. 2 tiret pierwsze dyrektywy 95/46.
40 Co się tyczy w drugiej kolejności wyjątku określonego w art. 3 ust. 2 tiret drugie dyrektywy 95/46, przepis ten wyłącza z jej zakresu stosowania przetwarzanie danych wykonywane w trakcie czynności nie o po prostu osobistym lub domowym charakterze, lecz o „czysto” osobistym lub domowym charakterze (zob. podobnie wyrok z dnia 11 grudnia 2014 r., Ryneš, C‑212/13, EU:C:2014:2428, pkt 30).
41 Określenie „o […] osobistym lub domowym charakterze” w rozumieniu wspomnianego przepisu odnosi się do działalności osoby, która przetwarza dane osobowe, a nie osoby, której dane są przetwarzane (zob. podobnie wyrok z dnia 11 grudnia 2014 r., Ryneš, C‑212/13, EU:C:2014:2428, pkt 31, 33).
42 Jak już orzekł Trybunał, art. 3 ust. 2 tiret drugie dyrektywy 95/46 należy interpretować jako obejmujący jedynie działania wchodzące w zakres życia prywatnego lub rodzinnego podmiotów indywidualnych. W tym względzie danej czynności nie można uznać za czynność o czysto osobistym lub domowym charakterze w rozumieniu tego przepisu, gdy jej celem jest udostępnienie danych osobowych nieokreślonej liczbie osób lub też gdy czynność ta rozciąga się choćby częściowo na przestrzeń publiczną i tym samym jest skierowana poza sferę prywatną osoby dokonującej przetwarzania danych (zob. podobnie wyroki: z dnia 6 listopada 2003 r., Lindqvist, C‑101/01, EU:C:2003:596, pkt 47; z dnia 16 grudnia 2008 r., Satakunnan Markkinapörssi i Satamedia, C‑73/07, EU:C:2008:727, pkt 44; a także z dnia 11 grudnia 2014 r., Ryneš, C‑212/13, EU:C:2014:2428, pkt 31, 33).
43 Ponieważ okazuje się, że przetwarzanie danych osobowych rozpatrywane w postępowaniu głównym jest dokonywane w ramach działalności kaznodziejskiej realizowanej poprzez odwiedzanie kolejnych gospodarstw domowych przez członków wspólnoty świadków Jehowy, należy określić, czy taka działalność ma czysto osobisty lub domowy charakter w rozumieniu art. 3 ust. 2 tiret drugie dyrektywy 95/46.
44 W tym względzie z postanowienia odsyłającego wynika, że działalność kaznodziejska realizowana poprzez odwiedzanie kolejnych gospodarstw domowych, w ramach której członkowie wspólnoty świadków Jehowy gromadzą dane osobowe, ma z samej swojej natury na celu propagowanie wiary wspólnoty świadków Jehowy wśród osób, które – jak zauważył w istocie rzecznik generalny w pkt 40 swojej opinii – nie należą do gospodarstwa domowego członków głosicieli. Działalność ta jest więc skierowana poza sferę prywatną członków głosicieli.
45 Ponadto z postanowienia odsyłającego wynika również, że niektóre dane gromadzone przez członków głosicieli wspomnianej wspólnoty są przez nich przekazywane zborom tej wspólnoty, które prowadzą na podstawie tych danych listy osób nieżyczących już sobie wizyt wspomnianych członków. W ramach swojej działalności kaznodziejskiej ci ostatni udostępniają zatem przynajmniej niektóre ze zgromadzonych danych potencjalnie nieograniczonej liczbie osób.
46 Co do kwestii, czy okoliczność, że przetwarzanie danych osobowych odbywa się w ramach działalności dotyczącej praktyk religijnych, może nadać działalności kaznodziejskiej realizowanej poprzez odwiedzanie kolejnych gospodarstw domowych czysto osobisty lub domowy charakter, należy przypomnieć, że prawo do wolności sumienia i religii sformułowane w art. 10 ust. 1 karty oznacza w szczególności wolność każdego do uzewnętrzniania swej religii lub przekonań, indywidualnie lub wspólnie z innymi, publicznie lub prywatnie, poprzez uprawianie kultu, nauczanie, praktykowanie i uczestniczenie w obrzędach.
47 W karcie przyjęto szerokie znaczenie zawartego w tym postanowieniu pojęcia „religii”, które może obejmować zarówno forum internum, czyli fakt posiadania przekonań, jak i forum externum, czyli publiczne uzewnętrznianie wyznawanej wiary religijnej (wyrok z dnia 29 maja 2018 r., Liga van Moskeeën en Islamitische Organisaties Provincie Antwerpen i in., C‑426/16, EU:C:2018:335, pkt 44 i przytoczone tam orzecznictwo).
48 Ponadto, jako że wolność uzewnętrzniania swej religii, indywidualnie lub wspólnie z innymi, publicznie lub prywatnie, może przybierać różne formy, takie jak nauczanie, praktykowanie i uczestniczenie w obrzędach, obejmuje ona również prawo do starania się o przekonanie innych osób, na przykład za pośrednictwem kaznodziejstwa (wyroki ETPC: z dnia 25 maja 1993 r. w sprawie, Kokkinakis przeciwko Grecji, CE:ECHR:1993:0525JUD001430788, § 31; a także z dnia 8 listopada 2007 r., Perry przeciwko Łotwie, CE:ECHR:2007:1108JUD003027303, § 52).
49 O ile jednak działalność kaznodziejska realizowana poprzez odwiedzanie kolejnych gospodarstw domowych przez członków wspólnoty religijnej jest chroniona przez art. 10 ust. 1 karty jako wyraz wiary głosiciela lub głosicieli, o tyle okoliczność ta nie skutkuje uznaniem, że jest to działalność o czysto osobistym lub domowym charakterze w rozumieniu art. 3 ust. 2 tiret drugie dyrektywy 95/46.
50 Działalność kaznodziejska wykracza bowiem w świetle wyjaśnień przedstawionych w pkt 44 i 45 niniejszego wyroku poza sferę prywatną członka głosiciela danej wspólnoty religijnej.
51 Przy uwzględnieniu powyższych rozważań na pytanie pierwsze należy odpowiedzieć, iż art. 3 ust. 2 dyrektywy 95/46 w świetle art. 10 ust. 1 karty należy interpretować w ten sposób, że gromadzenie danych osobowych przez członków wspólnoty religijnej w ramach działalności kaznodziejskiej realizowanej poprzez odwiedzanie kolejnych gospodarstw domowych i późniejsze przetwarzanie tych danych nie stanowi ani przetwarzania danych osobowych w ramach działalności, o której mowa w art. 3 ust. 2 tiret pierwsze tej dyrektywy, ani przetwarzania danych osobowych przez osobę fizyczną w trakcie czynności o czysto osobistym lub domowym charakterze w rozumieniu art. 3 ust. 2 tiret drugie wspomnianej dyrektywy.
W przedmiocie pytania drugiego
52 Poprzez pytanie drugie sąd odsyłający dąży w istocie do ustalenia, czy art. 2 lit. c) dyrektywy 95/46 należy interpretować w ten sposób, że pojęcie „zbioru”, o którym mowa w tym przepisie, obejmuje zestaw danych osobowych gromadzonych w ramach działalności kaznodziejskiej realizowanej poprzez odwiedzanie kolejnych gospodarstw domowych, zawierających nazwiska i adresy oraz inne informacje dotyczące odwiedzonych osób, o ile dane te mogą być w praktyce łatwo odnalezione dla celów ich późniejszego wykorzystania, lub czy też zestaw ten, aby był objęty tym pojęciem, musi zawierać kartoteki, szczególne rejestry lub inne systemy służące wyszukiwaniu.
53 Jak wynika z art. 3 ust. 1 i z motywów 15 i 27 dyrektywy 95/46, dotyczy ona zarówno zautomatyzowanego przetwarzania danych osobowych, jak i ręcznego przetwarzania takich danych, tak aby nie uzależniać ochrony przyznawanej osobom, których dane są przetwarzane, od zastosowanych technik i uniknąć ryzyka obchodzenia tej ochrony. Jednakże z powyższych przepisów wynika również, że wspomniana dyrektywa stosuje się do ręcznego przetwarzania danych osobowych tylko w przypadku, gdy dane przetwarzane stanowią część zbioru danych lub mają stanowić część zbioru danych.
54 W niniejszym przypadku ze względu na to, że przetwarzanie danych osobowych rozpatrywane w postępowaniu głównym jest dokonywane w sposób niezautomatyzowany, powstaje pytanie, czy dane w ten sposób przetwarzane stanowią część zbioru danych lub mają stanowić część zbioru danych w rozumieniu art. 2 lit. c) i art. 3 ust. 1 dyrektywy 95/46.
55 W tym względzie z art. 2 lit. c) dyrektywy 95/46 wynika, że pojęcie „zbioru” obejmuje „każdy uporządkowany zestaw danych osobowych, dostępnych według określonych kryteriów, scentralizowan[y], zdecentralizowan[y] lub rozproszon[y] funkcjonalnie lub geograficznie”.
56 Zgodnie z celem przypomnianym w pkt 53 niniejszego wyroku przepis ten definiuje w szeroki sposób pojęcie „zbioru”, w szczególności odnosząc się do „każdego” uporządkowanego zestawu danych osobowych.
57 Jak wynika z motywów 15 i 27 dyrektywy 95/46, zawartość zbiorów musi być zorganizowana w celu zapewnienia łatwego dostępu do danych osobowych. Ponadto o ile art. 2 lit. c) tej dyrektywy nie precyzuje kryteriów, według których zbiór ten musi być zorganizowany, o tyle ze wspomnianych motywów wynika, że powinny to być kryteria „dotyczące osób fizycznych”. Wydaje się zatem, że wymóg, zgodnie z którym zestaw danych osobowych musi mieć charakter „zorganizowany według określonych kryteriów”, ma jedynie na celu umożliwienie, aby dane dotyczące osoby mogły zostać łatwo odnalezione.
58 Poza tym wymogiem art. 2 lit. c) dyrektywy 95/46 nie przewiduje ani szczegółowych zasad, zgodnie z którymi zbiór musi być zorganizowany, ani postaci, jaką musi on przyjąć. W szczególności z przepisu tego ani z żadnego innego przepisu tej dyrektywy nie wynika, że aby można było stwierdzić istnienie takiego zbioru w rozumieniu tej dyrektywy, rozpatrywane dane osobowe powinny być ujęte w kartotekach lub szczególnych rejestrach, lub też w innym systemie służącym wyszukiwaniu.
59 W niniejszym przypadku z ustaleń sądu odsyłającego wynika, że dane zbierane w ramach rozpatrywanej w postępowaniu głównym działalności kaznodziejskiej realizowanej poprzez odwiedzanie kolejnych gospodarstw domowych są gromadzone jako zapiski ku pamięci, na podstawie podziału według obszarów geograficznych, po to, aby ułatwić organizowanie późniejszych wizyt składanych u osób, które zostały już odwiedzone. Dane zawierają nie tylko informacje dotyczące treści rozmów dotyczących przekonań odwiedzonej osoby, ale również jej nazwisko i adres. Ponadto informacje te, a przynajmniej niektóre z nich, są wykorzystywane do sporządzania prowadzonych przez zbory wspólnoty świadków Jehowy list osób nieżyczących już sobie wizyt członków głosicieli tej wspólnoty.
60 Wydaje się zatem, że dane gromadzone w ramach rozpatrywanej w postępowaniu głównym działalności kaznodziejskiej realizowanej poprzez odwiedzanie kolejnych gospodarstw domowych są zorganizowane według kryteriów przyjętych w zależności od celu, któremu ma służyć to gromadzenie, a którym jest przygotowanie późniejszych wizyt i prowadzenie list osób nieżyczących już sobie odwiedzin. Jak wynika z postanowienia odsyłającego, kryteria te, wśród których znajdują się w szczególności nazwiska i adresy odwiedzonych osób, ich przekonania, a nawet wzmianka, że nie życzą już sobie wizyt, zostały wybrane tak, aby umożliwić łatwe odnalezienie danych dotyczących określonych osób.
61 W tym względzie kwestia, według jakiego konkretnego kryterium i w jakiej dokładnie postaci zestaw danych osobowych gromadzonych przez każdego z członków głosicieli jest faktycznie zorganizowany, jest pozbawiona znaczenia, o ile zestaw ten pozwala na łatwe odnalezienie danych dotyczących określonej odwiedzonej osoby, czego sprawdzenie należy jednak do sądu odsyłającego w świetle wszystkich okoliczności sprawy rozpatrywanej w postępowaniu głównym.
62 Na pytanie drugie należy zatem odpowiedzieć, iż art. 2 lit. c) dyrektywy 95/46 należy interpretować w ten sposób, że pojęcie „zbioru”, o którym mowa w tym przepisie, obejmuje zestaw danych osobowych gromadzonych w ramach działalności kaznodziejskiej realizowanej poprzez odwiedzanie kolejnych gospodarstw domowych, zawierających nazwiska i adresy oraz inne informacje dotyczące odwiedzonych osób, o ile dane te są zorganizowane według określonych kryteriów umożliwiających w praktyce ich łatwe odnalezienie dla celów ich późniejszego wykorzystania. Aby zestaw taki był objęty tym pojęciem, nie jest konieczne, by zawierał kartoteki, szczególne rejestry lub inne systemy służące wyszukiwaniu.
W przedmiocie pytań trzeciego i czwartego
63 Poprzez pytania trzecie i czwarte, które należy rozpatrzyć łącznie, sąd odsyłający dąży w istocie do ustalenia, czy art. 2 lit. d) dyrektywy 95/46 w świetle art. 10 ust. 1 karty należy interpretować w ten sposób, że pozwala on uznać wspólnotę religijną wspólnie z jej członkami głosicielami za administratora danych osobowych w odniesieniu do przetwarzania dokonywanego przez tych członków głosicieli w ramach zorganizowanej, koordynowanej i wspieranej przez wspólnotę działalności kaznodziejskiej realizowanej poprzez odwiedzanie kolejnych gospodarstw domowych, i czy jest konieczne w tym celu, by wspomniana wspólnota miała dostęp do tych danych lub by zostało ustalone, że udzielała swoim członkom pisemnych wytycznych lub instrukcji dotyczących tego przetwarzania.
64 W niniejszym przypadku w decyzji spornej w postępowaniu głównym komisja ds. ochrony danych uznała wspólnotę świadków Jehowy wspólnie z jej członkami głosicielami za administratora danych w odniesieniu do ich przetwarzania dokonywanego przez tych członków głosicieli w ramach działalności kaznodziejskiej realizowanej poprzez odwiedzanie kolejnych gospodarstw domowych. Jako że kwestionowana jest jedynie odpowiedzialność tej wspólnoty, odpowiedzialność członków głosicieli nie wydaje się być podważona.
65 Jak wyraźnie przewiduje art. 2 lit. d) dyrektywy 95/46, pojęcie „administratora danych” oznacza osobę fizyczną lub prawną, która „samodzielnie lub wspólnie z innymi podmiotami” określa cele i sposoby przetwarzania danych. Pojęcie to z tego względu niekoniecznie odnosi się do pojedynczej osoby fizycznej lub prawnej i może dotyczyć kilku podmiotów uczestniczących w tym przetwarzaniu, przy czym każdy z nich musi podlegać wówczas przepisom obowiązującym w dziedzinie ochrony danych (zob. podobnie wyrok z dnia 5 czerwca 2018 r., Wirtschaftsakademie Schleswig-Holstein, C‑210/16, EU:C:2018:388, pkt 29).
66 Jako że celem tego przepisu jest zapewnienie, poprzez przyjęcie szerokiej definicji pojęcia „administratora”, skutecznej i pełnej ochrony osobom, których dane dotyczą, istnienie wspólnej odpowiedzialności niekoniecznie przekłada się na jednakową odpowiedzialność różnych podmiotów w odniesieniu do tego samego przetwarzania danych osobowych. Wręcz przeciwnie, podmioty te mogą być zaangażowane na różnych etapach tego przetwarzania i w różnym stopniu, tak że poziom odpowiedzialności każdego z nich należy oceniać przy uwzględnieniu wszystkich istotnych okoliczności danej sprawy (zob. podobnie wyrok z dnia 5 czerwca 2018 r., Wirtschaftsakademie Schleswig-Holstein, C‑210/16, EU:C:2018:388, pkt 28, 43, 44).
67 W tym względzie ani brzmienie art. 2 lit. d) dyrektywy 95/46, ani żaden inny przepis tej dyrektywy nie pozwala na uznanie, że określenie celów i sposobów przetwarzania musi odbywać się za pomocą pisemnych wytycznych lub instrukcji ze strony administratora danych.
68 Natomiast osoba fizyczna lub prawna, która wpływa dla własnych interesów na przetwarzanie danych osobowych i uczestniczy z tego powodu w określeniu celów i sposobów tego przetwarzania, może być uznana za administratora danych w rozumieniu art. 2 lit. d) dyrektywy 95/46.
69 Ponadto wspólna odpowiedzialność kilku podmiotów w zakresie tego samego przetwarzania na mocy tego przepisu nie zakłada, by każdy z nich miał dostęp do odnośnych danych osobowych (zob. podobnie wyrok z dnia 5 czerwca 2018 r., Wirtschaftsakademie Schleswig-Holstein, C‑210/16, EU:C:2018:388, pkt 38).
70 W niniejszym przypadku, jak wynika z postanowienia odsyłającego, na członkach głosicielach wspólnoty świadków Jehowy spoczywa oczywiście obowiązek oceny, w jakich konkretnych okolicznościach gromadzą oni dane osobowe dotyczące odwiedzonych osób, jakie dokładne dane są przedmiotem tego gromadzenia i w jaki sposób dokonują ich późniejszego przetwarzania. Jednak, jak przypomniano w pkt 43 i 44 niniejszego wyroku, gromadzenie danych osobowych jest dokonywane w ramach działalności kaznodziejskiej realizowanej poprzez odwiedzanie kolejnych gospodarstw domowych, za pośrednictwem której członkowskie głosiciele wspólnoty świadków Jehowy propagują wiarę tej wspólnoty. Ta działalność kaznodziejska stanowi, jak wynika z postanowienia odsyłającego, istotną formę działania tej wspólnoty, które to działanie jest organizowane, koordynowane i wspierane przez wspomnianą wspólnotę. W tych ramach dane są gromadzone jako zapiski ku pamięci dla celów późniejszego wykorzystania i ewentualnej późniejszej ponownej wizyty. Wreszcie zbory wspólnoty świadków Jehowy prowadzą na podstawie danych przekazywanych im przez członków głosicieli listy osób nieżyczących już sobie wizyt tych członków.
71 Wydaje się zatem, że gromadzenie danych osobowych dotyczących odwiedzonych osób i ich późniejsze przetwarzanie służą realizacji celu wspólnoty świadków Jehowy zakładającego propagowanie wiary tej wspólnoty i w związku z tym są dokonywane przez członków głosicieli dla celów własnych tej wspólnoty. Ponadto wspólnota świadków Jehowy nie tylko ma, ogólnie rzecz biorąc, wiedzę na temat tego, że takie przetwarzanie odbywa się dla celów propagowania jej wiary, lecz także organizuje i koordynuje działalność kaznodziejską swoich członków, w szczególności poprzez podział obszarów aktywności pomiędzy poszczególnych głosicieli.
72 Takie okoliczności pozwalają uznać, że wspólnota świadków Jehowy zachęca swoich członków głosicieli do dokonywania w ramach ich działalności kaznodziejskiej przetwarzania danych osobowych.
73 Wydaje się zatem w świetle akt sprawy przedłożonych Trybunałowi, że wspólnota świadków Jehowy, organizując, koordynując i wspierając działalność kaznodziejską członków w celu propagowania swojej wiary, uczestniczy wspólnie z członkami głosicielami w określaniu celów i sposobów przetwarzania danych osobowych odwiedzonych osób, czego sprawdzenie należy jednak do sądu odsyłającego w świetle wszystkich okoliczności niniejszej sprawy.
74 Stwierdzenia tego nie może podważyć zasada autonomii organizacyjnej wspólnot religijnych, która wynika z art. 17 TFUE. Spoczywającego na wszystkich osobach obowiązku dostosowania się do zasad prawa Unii dotyczących ochrony danych osobowych nie można bowiem uznać za ingerencję w autonomię organizacyjną wspomnianych wspólnot (zob. analogicznie wyrok z dnia 17 kwietnia 2018 r., Egenberger, C‑414/16, EU:C:2018:257, pkt 58).
75 W świetle powyższych rozważań na pytania trzecie i czwarte należy odpowiedzieć, że art. 2 lit. d) dyrektywy 95/46 w świetle art. 10 ust. 1 karty należy interpretować w ten sposób, że pozwala on uznać wspólnotę religijną wspólnie z jej członkami głosicielami za administratora danych osobowych w odniesieniu do przetwarzania dokonywanego przez tych członków głosicieli w ramach zorganizowanej, koordynowanej i wspieranej przez wspólnotę działalności kaznodziejskiej realizowanej poprzez odwiedzanie kolejnych gospodarstw domowych, przy czym nie jest konieczne, by wspomniana wspólnota miała dostęp do danych, ani nie musi zostać ustalone, że udzielała ona swoim członkom pisemnych wytycznych lub instrukcji dotyczących tego przetwarzania.
W przedmiocie kosztów
76 Dla stron w postępowaniu głównym niniejsze postępowanie ma charakter incydentalny, dotyczy bowiem kwestii podniesionej przed sądem odsyłającym, do niego zatem należy rozstrzygnięcie o kosztach. Koszty poniesione w związku z przedstawieniem uwag Trybunałowi, inne niż koszty stron w postępowaniu głównym, nie podlegają zwrotowi.
Z powyższych względów Trybunał (wielka izba) orzeka, co następuje:
1) Artykuł 3 ust. 2 dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych w świetle art. 10 ust. 1 Karty praw podstawowych Unii Europejskiej należy interpretować w ten sposób, że gromadzenie danych osobowych dokonywane przez członków wspólnoty religijnej w ramach działalności kaznodziejskiej realizowanej poprzez odwiedzanie kolejnych gospodarstw domowych i późniejsze przetwarzanie tych danych nie stanowi ani przetwarzania danych osobowych w ramach działalności, o której mowa w art. 3 ust. 2 tiret pierwsze tej dyrektywy, ani przetwarzania danych osobowych przez osobę fizyczną w trakcie czynności o czysto osobistym lub domowym charakterze w rozumieniu art. 3 ust. 2 tiret drugie wspomnianej dyrektywy.
2) Artykuł 2 lit. c) dyrektywy 95/46 należy interpretować w ten sposób, że pojęcie „zbioru”, o którym mowa w tym przepisie, obejmuje zestaw danych osobowych gromadzonych w ramach działalności kaznodziejskiej realizowanej poprzez odwiedzanie kolejnych gospodarstw domowych, zawierających nazwiska i adresy oraz inne informacje dotyczące odwiedzonych osób, o ile dane te są zorganizowane według określonych kryteriów umożliwiających w praktyce ich łatwe odnalezienie dla celów ich późniejszego wykorzystania. Aby zestaw taki był objęty tym pojęciem, nie jest konieczne, by zawierał kartoteki, szczególne rejestry lub inne systemy służące wyszukiwaniu.
3) Artykuł 2 lit. d) dyrektywy 95/46 w świetle art. 10 ust. 1 karty praw podstawowych należy interpretować w ten sposób, że pozwala on uznać wspólnotę religijną wspólnie z jej członkami głosicielami za administratora danych osobowych w odniesieniu do przetwarzania dokonywanego przez tych członków głosicieli w ramach zorganizowanej, koordynowanej i wspieranej przez wspólnotę działalności kaznodziejskiej realizowanej poprzez odwiedzanie kolejnych gospodarstw domowych, przy czym nie jest konieczne, by wspomniana wspólnota miała dostęp do danych, ani nie musi zostać ustalone, że udzielała ona swoim członkom pisemnych wytycznych lub instrukcji dotyczących tego przetwarzania.
Podpisy