DOMSTOLENS DOM (Tredje Afdeling)
11. december 2019 (*)
»Præjudiciel forelæggelse – beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – Den Europæiske Unions charter om grundlæggende rettigheder – artikel 7 og 8 – direktiv 95/46/EF – artikel 6, stk. 1, litra c), og artikel 7, litra f) – grundlag for behandling af personoplysninger – national lovgivning, som tillader videoovervågning uden den registreredes samtykke med henblik på at tilvejebringe sikkerhed for og beskyttelse af personer, ejendom og værdier og at forfølge legitime interesser – indførelse af et videoovervågningssystem på fællesarealerne i en beboelsesejendom«
I sag C-708/18,
angående en anmodning om præjudiciel afgørelse i henhold til artikel 267 TEUF, indgivet af Tribunalul Bucureşti (retten i første instans i Bukarest, Rumænien) ved afgørelse af 2. oktober 2018, indgået til Domstolen den 6. november 2018, i sagen
TK
mod
Asociaţia de Proprietari bloc M5A-ScaraA,
har
DOMSTOLEN (Tredje Afdeling),
sammensat af afdelingsformanden, A. Prechal (refererende dommer), og dommerne L.S. Rossi, J. Malenovský, F. Biltgen og N. Wahl,
generaladvokat: G. Pitruzzella,
justitssekretær: A. Calot Escobar,
på grundlag af den skriftlige forhandling,
efter at der er afgivet indlæg af:
– den rumænske regering ved C.-R. Canţăr, O.-C. Ichim og A. Wellman, som befuldmægtigede,
– den tjekkiske regering ved M. Smolek, J. Vláčil og O. Serdula, som befuldmægtigede,
– den danske regering ved J. Nymann-Lindegren, M. Wolff og P.Z.L. Ngo, som befuldmægtigede,
– Irland ved M. Browne, G. Hodge og A. Joyce, som befuldmægtigede, bistået af D. Fennelly, BL,
– den østrigske regering først ved G. Hesse og J. Schmoll, derefter ved J. Schmoll, som befuldmægtigede,
– den portugisiske regering ved L. Inez Fernandes, P. Barros da Costa, L. Medeiros, I. Oliveira og M. Cancela Carvalho, som befuldmægtigede,
– Europa-Kommissionen ved H. Kranenborg, D. Nardi og L. Nicolae, som befuldmægtigede,
og idet Domstolen efter at have hørt generaladvokaten har besluttet, at sagen skal pådømmes uden forslag til afgørelse,
afsagt følgende
Dom
1 Anmodningen om præjudiciel afgørelse vedrører fortolkningen af artikel 6, stk. 1, litra e), og artikel 7, litra f), i Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (EFT 1995, L 281, s. 31), og af artikel 8 og 52 i Den Europæiske Unions charter om grundlæggende rettigheder (herefter »chartret«).
2 Anmodningen er blevet indgivet i forbindelse med en tvist mellem TK og Asociaţia de Proprietari bloc M5A-ScaraA (ejerforeningen i ejendommen M5A, opgang A, Rumænien, herefter »ejerforeningen«) vedrørende TK’s påstand om, at denne forening pålægges at tage systemet til videoovervågning af ejendommen ud af drift og at nedtage de kameraer, som er installeret i ejendommens fællesarealer.
Retsforskrifter
EU-retten
3 Direktiv 95/46 blev med virkning fra den 25. maj 2018 ophævet og erstattet af Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (EUT 2016, L 119, s. 1). Henset til tidspunktet for de faktiske omstændigheder i tvisten i hovedsagen er det imidlertid direktivets bestemmelser, der finder anvendelse på denne sag.
4 Direktiv 95/46 havde ifølge artikel 1 til formål at beskytte fysiske personers grundlæggende rettigheder og frihedsrettigheder, især retten til privatlivets fred, i forbindelse med behandling af personoplysninger og at fjerne hindringer for den frie udveksling af disse oplysninger.
5 Direktivets artikel 3 fastsatte følgende i stk. 1:
»Dette direktivs bestemmelser anvendes på behandling af personoplysninger, der helt eller delvis foretages ved hjælp af edb, samt på ikke-elektronisk behandling af personoplysninger, der er eller vil blive indeholdt i et register.«
6 Direktivets kapitel II indeholdt en afdeling I, som havde overskriften »Principper vedrørende oplysningernes pålidelighed« og bestod af direktivets artikel 6, der bestemte følgende:
»1. Medlemsstaterne fastsætter bestemmelser om, at personoplysninger
a) skal behandles rimeligt og lovligt
b) skal indsamles til udtrykkeligt angivne og legitime formål, samt at senere behandling heraf ikke må være uforenelig med disse formål; senere behandling af oplysninger i historisk, statistisk eller videnskabeligt øjemed anses ikke for at være uforenelig med disse formål, såfremt medlemsstaterne giver de fornødne garantier
c) skal være relevante og tilstrækkelige og ikke omfatte mere end, hvad der kræves til opfyldelse af de formål, hvortil de indsamles, og til de formål, hvortil de senere behandles
d) skal være korrekte og om nødvendigt ajourførte; der skal tages ethvert rimeligt skridt til at slette eller berigtige oplysninger, der er urigtige eller ufuldstændige i forhold til det formål, hvortil de indsamles, eller i forbindelse med hvilke de behandles på et senere tidspunkt
e) ikke må opbevares på en måde, der giver mulighed for at identificere de registrerede i et længere tidsrum end det, der er nødvendigt af hensyn til de formål, hvortil de indsamles, eller i forbindelse med hvilke de behandles på et senere tidspunkt. Medlemsstaterne fastsætter de fornødne garantier for personoplysninger, der i historisk, statistisk eller videnskabeligt øjemed opbevares længere end i ovennævnte periode.
2. Det påhviler den registeransvarlige at sikre, at bestemmelserne i stk. 1 overholdes.«
7 Afdeling II i kapitel II i direktiv 95/46 havde overskriften »Principper vedrørende grundlaget for behandling af oplysninger«, og artikel 7 heri havde følgende ordlyd:
»Medlemsstaterne fastsætter bestemmelser om, at behandling af personoplysninger kun må finde sted, hvis:
a) der ikke hersker tvivl om, at den registrerede har givet sit samtykke, eller
b) behandlingen er nødvendig af hensyn til opfyldelsen af en kontrakt, som den registrerede er part i, eller af hensyn til gennemførelse af foranstaltninger, der træffes på dennes anmodning forud for indgåelsen af en sådan kontrakt, eller
c) behandlingen er nødvendig for at overholde en retlig forpligtelse, som gælder for den registeransvarlige, eller
d) behandlingen er nødvendig for at beskytte den registreredes vitale interesser, eller
e) behandlingen er nødvendig af hensyn til udførelsen af en opgave i samfundets interesse eller henhørende under offentlig myndighedsudøvelse, som den registeransvarlige eller en tredjemand, til hvem oplysningerne videregives, har fået pålagt, eller
f) behandlingen er nødvendig, for at den registeransvarlige eller den tredjemand eller de tredjemænd, til hvem oplysningerne videregives, kan forfølge en legitim interesse, medmindre den registreredes interesser eller de grundlæggende rettigheder og frihedsrettigheder, der skal beskyttes i henhold til artikel 1, stk. 1, i dette direktiv, går forud herfor.«
Rumænsk ret
8 Legea nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date (lov nr. 677/2001 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger) (Monitorul Oficial, del I, nr. 790, af 12.12.2001), som ændret ved lov nr. 102/2005 og regeringens hastedekret nr. 36/2007, som finder anvendelse ratione temporis på tvisten i hovedsagen, blev vedtaget med henblik på gennemførelse af direktiv 95/46 i rumænsk ret.
9 Denne lovs artikel 5 bestemte følgende:
»1. Behandling af personoplysninger må, medmindre den vedrører oplysninger, der hører under de kategorier, som er nævnt i artikel 7, stk. 1, og i artikel 8 og 10, kun foretages, hvis den registrerede udtrykkeligt og utvivlsomt har givet sit samtykke til behandlingen.
2. Den registreredes samtykke er ikke påkrævet i følgende tilfælde:
a) når behandlingen er nødvendig af hensyn til opfyldelsen af en kontrakt eller en foreløbig kontrakt, som den registrerede er part i, eller af hensyn til gennemførelse af foranstaltninger, der træffes på dennes anmodning, forud for indgåelsen af en kontrakt eller en foreløbig kontrakt
b) når behandlingen er nødvendig for at beskytte den registreredes eller andre risikoudsatte personers liv, fysiske integritet eller sundhed
c) når behandlingen er nødvendig for at overholde en retlig forpligtelse, som påhviler den registeransvarlige
d) når behandlingen er nødvendig af hensyn til udførelsen af en opgave i samfundets interesse eller vedrørende offentlig myndighedsudøvelse, som den registeransvarlige eller en tredjemand, til hvem oplysningerne videregives, har fået pålagt
e) når behandlingen er nødvendig, for at den registeransvarlige eller tredjemand, til hvem oplysningerne videregives, kan forfølge en legitim interesse, medmindre denne interesse skader den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder
f) når behandlingen vedrører oplysninger, som stammer fra offentligt tilgængelige dokumenter, i overensstemmelse med loven
g) når behandlingen foretages til rent statistiske eller rent historiske eller videnskabelige forskningsformål, og oplysningerne forbliver anonyme, så længe behandlingen varer
3. Bestemmelserne i stk. 2 berører ikke lovbestemmelser om de offentlige myndigheders pligt til at respektere og beskytte intimsfæren, familielivet og privatlivet.«
10 Afgørelse nr. 52/2012 fra Autoritate Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (den nationale tilsynsmyndighed for behandling af personoplysninger, Rumænien, herefter »ANSPDCP«) om behandling af personoplysninger ved hjælp af videoovervågning bestemte i den version, der finder anvendelse på tvisten i hovedsagen, følgende i artikel 1:
»Indsamling, registrering, opbevaring, anvendelse, transmission, videregivelse eller enhver anden behandling af billeder ved hjælp af videoovervågning, som gør det muligt direkte eller indirekte at identificere fysiske personer, udgør behandling af personoplysninger, som er omfattet af anvendelsesområdet for [lov nr. 677/2001].«
11 Denne afgørelses artikel 4 bestemte følgende:
»Videoovervågning kan primært anvendes i følgende øjemed:
a) forebyggelse og bekæmpelse af lovovertrædelser
b) overvågning af vejtrafik og konstatering af overtrædelser af færdselsreglerne
c) sikkerhed for og beskyttelse af personer, ejendom og værdier, bygninger og anlæg af almennyttig karakter samt deres naboarealer
d) gennemførelse af foranstaltninger i samfundets interesse eller offentlig myndighedsudøvelse
e) forfølgelse af legitime interesser på betingelse af, at der ikke gøres indgreb i de registreredes grundlæggende rettigheder og frihedsrettigheder.«
12 Denne afgørelses artikel 5, stk. 1-3, havde følgende ordlyd:
»1. Videoovervågning kan på de ved lov fastsatte betingelser foretages på åbne eller offentligt tilgængelige steder og pladser, herunder offentlige adgangsveje til offentlig eller privat ejendom.
2. Overvågningskameraerne skal installeres, så de er synlige.
3. Anvendelse af skjult videoovervågning er forbudt undtagen i de ved lov fastsatte tilfælde.«
13 Samme afgørelses artikel 6 fastsatte følgende:
»Behandling af personoplysninger ved hjælp af videoovervågningssystemer må kun ske med den registreredes udtrykkelige og utvivlsomme samtykke eller i de tilfælde, som er omhandlet i artikel 5, stk. 2, i lov nr. 677/2001[…]«
Tvisten i hovedsagen og de præjudicielle spørgsmål
14 TK bor i en lejlighed, som han ejer, i ejendommen M5A. Efter anmodning fra nogle af de andre ejere i denne ejendom vedtog ejerforeningen under en generalforsamling, der blev afholdt den 7. april 2016, en afgørelse om at tillade installation af videoovervågningskameraer i ejendommen.
15 Som følge af denne afgørelse blev der installeret tre videoovervågningskameraer i fællesarealer i ejendommen M5A. Det første var vendt mod ejendommens facade, mens det andet og det tredje var installeret i henholdsvis ejendommens hall i stueetagen og i elevatoren.
16 TK gjorde indsigelse mod installationen af dette videoovervågningssystem med den begrundelse, at den udgjorde en tilsidesættelse af retten til respekt for privatlivet.
17 Da TK konstaterede, at videoovervågningssystemet fortsat fungerede på trods af mange henvendelser og ejerforeningens skriftlige anerkendelse af, at det indførte system var ulovligt, anlagde han sag ved den forelæggende ret med påstand om, at foreningen blev pålagt at nedtage de tre kameraer og tage dem endeligt ud af brug, idet foreningen ellers skulle pålægges en bøde.
18 TK har for den forelæggende ret gjort gældende, at det omhandlede videoovervågningssystem tilsidesætter den primære og afledte EU-ret, navnlig retten til respekt for privatlivet, og national ret vedrørende retten til respekt for privatlivet. Han har desuden anført, at ejerforeningen påtog sig rollen som registeransvarlig for behandlingen af personoplysninger uden at have fulgt den procedure for registrering, som med henblik herpå er fastsat ved lov.
19 Ejerforeningen har anført, at afgørelsen om installation af et videoovervågningssystem blev truffet med henblik på så effektivt som muligt at kunne overvåge, hvem der kommer og går i ejendommen, fordi der gentagne gange var blevet begået hærværk på elevatoren, og fordi der havde været indbrud og tyverier i flere lejligheder og i fællesarealerne.
20 Ejerforeningen har også præciseret, at andre foranstaltninger, som den tidligere havde iværksat, nemlig installation af et indgangssystem med dørtelefon og magnetkort i ejendommen, ikke havde forhindret, at der gentagne gange blev begået tilsvarende lovovertrædelser.
21 Ejerforeningen sendte desuden den rapport, som den havde udarbejdet sammen med det selskab, der havde installeret videoovervågningssystemets kameraer, til TK og anførte, at systemets harddisk var blevet slettet og frakoblet den 21. oktober 2016, at systemet var blevet taget ud af drift, og at de registrerede billeder var blevet slettet.
22 Ejerforeningen sendte også en anden rapport til TK dateret den 18. maj 2017, hvoraf det fremgik, at de tre videoovervågningskameraer var blevet afinstalleret. I denne rapport var det præciseret, at ejerforeningen i mellemtiden havde gennemført den procedure, som gjorde det muligt for den at være registreret som registeransvarlig for behandlingen af personoplysninger.
23 TK har imidlertid for den forelæggende ret anført, at de tre overvågningskameraer fortsat var opsat.
24 Den forelæggende ret har fremhævet, at artikel 5 i lov nr. 677/2001 som en generel regel fastsætter, at en behandling af personoplysninger, såsom registrering af billeder ved hjælp af et videoovervågningssystem, kun må foretages, hvis den registrerede udtrykkeligt og utvivlsomt har givet sit samtykke hertil. I samme artikels stk. 2 er der imidlertid opstillet en række undtagelser til denne regel, herunder en undtagelse vedrørende behandling af personoplysninger, som er nødvendig for at beskytte den registreredes eller andre risikoudsatte personers liv, fysiske integritet eller sundhed. I ANSPDCP’s afgørelse nr. 52/2012 er en tilsvarende undtagelse fastsat.
25 Den forelæggende ret har herefter bl.a. henvist til chartrets artikel 52, stk. 1, som fastsætter princippet om, at der skal være proportionalitet mellem det formål, som forfølges med indgrebet i borgernes rettigheder og friheder, og de anvendte midler.
26 Ifølge den forelæggende ret synes det videoovervågningssystem, som er omhandlet i sagen for denne ret, imidlertid ikke at være blevet anvendt på en måde eller til et formål, som ikke var i overensstemmelse med ejerforeningens erklærede formål hermed, nemlig at beskytte livet, den fysiske integritet og sundheden for de registrerede, dvs. ejerne af den ejendom, hvor systemet blev installeret.
27 På denne baggrund har Tribunalul Bucureşti (retten i første instans i Bukarest, Rumænien) besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:
»1) Skal [chartrets] artikel 8 og 52 […] samt artikel 7, litra f), i direktiv 95/46 […] fortolkes således, at de er til hinder for en national ordning som den i [sagen] omhandlede, og navnlig artikel 5, stk. 2, i lov nr. 677/2001 og artikel 6 i afgørelse nr. 52/2012 fra ANSPDCP […], hvorefter videoovervågning uden den registreredes samtykke kan anvendes dels for at tilvejebringe sikkerhed for og beskyttelse af personer, genstande og værdier, dels for at forfølge legitime interesser?
2) Skal [chartrets] artikel 8 og 52 […] fortolkes således, at den begrænsning i udøvelsen af rettigheder og friheder, som følger af videoovervågning, er i overensstemmelse med proportionalitetsprincippet, opfylder nødvendighedskravet og forfølger almene hensyn eller svarer til behovet for at beskytte andres rettigheder og friheder, såfremt operatøren kan træffe andre foranstaltninger for at beskytte den omhandlede legitime interesse?
3) Skal artikel 7, litra f), i direktiv 95/46 […] fortolkes således, at den registeransvarliges »legitime interesse« skal være dokumenteret, eksisterende og effektiv på tidspunktet for behandlingen?
4) Skal artikel 6, stk. l, litra e), i direktiv 95/46 […] fortolkes således, at en bestemt form for behandling (videoovervågning) er uforholdsmæssig eller uhensigtsmæssig, hvis operatøren kan træffe andre foranstaltninger for at beskytte den omhandlede legitime interesse?«
De præjudicielle spørgsmål
28 Indledningsvis skal det for det første bemærkes, at uanset at den forelæggende ret med sit fjerde spørgsmål henviser til artikel 6, stk. 1, litra e), i direktiv 95/46, har den ikke forklaret, hvorfor denne bestemmelse er relevant for afgørelsen af tvisten i hovedsagen.
29 Nævnte bestemmelse vedrører således alene de krav, som skal overholdes ved opbevaring af personoplysninger. Der er imidlertid intet i de sagsakter, som Domstolen råder over, der giver anledning til at lægge til grund, at tvisten i hovedsagen vedrører dette aspekt.
30 For så vidt som den forelæggende ret med dette spørgsmål derimod nærmere bestemt ønsker oplyst, om indførelse af et videoovervågningssystem som det i hovedsagen omhandlede står i et rimeligt forhold til de forfulgte formål, bemærkes, at spørgsmålet om, hvorvidt de personoplysninger, som indsamles ved hjælp af dette system, opfylder proportionalitetskravet, vedrører fortolkningen af artikel 6, stk. 1, litra c), i direktiv 95/46.
31 Sidstnævnte bestemmelse skal imidlertid tages i betragtning i forbindelse med efterprøvelsen af overholdelsen af den anden betingelse for anvendelse, som er opstillet i artikel 7, litra f), i direktiv 95/46, hvorefter behandlingen af personoplysninger skal være »nødvendig« for, at den legitime interesse kan forfølges.
32 For det andet henviser den forelæggende ret med det første og det andet spørgsmål til chartrets artikel 8 og 52, isoleret set eller sammenholdt med artikel 7, litra f), i direktiv 95/46. Domstolen har imidlertid allerede præciseret, at det ved vurderingen af den betingelse, der er opstillet i denne bestemmelse, vedrørende det forhold, at de grundlæggende rettigheder og frihedsrettigheder, der tilkommer den person, der er omfattet af beskyttelsen, kan gå forud for den legitime interesse, som forfølges af den registeransvarlige eller den tredjemand eller de tredjemænd, til hvem oplysningerne videregives, er nødvendigt at foretage en afvejning af de pågældende modstående rettigheder og interesser, som afhænger af de konkrete omstændigheder i det enkelte tilfælde, i forbindelse med hvilken der skal tages hensyn til vigtigheden af den registreredes rettigheder, som følger af chartrets artikel 7 og 8 (dom af 24.11.2011, Asociación Nacional de Establecimientos Financieros de Crédito, C-468/10 og C-469/10, EU:C:2011:777, præmis 40). Det følger heraf, at chartrets artikel 8 og 52 ikke skal anvendes isoleret i den foreliggende sag.
33 Henset til det ovenstående må det lægges til grund, at den forelæggende ret med sine spørgsmål, der skal behandles samlet, nærmere bestemt ønsker oplyst, om artikel 6, stk. 1, litra c), og artikel 7, litra f), i direktiv 95/46, sammenholdt med chartrets artikel 7 og 8, skal fortolkes således, at de er til hinder for nationale bestemmelser, der tillader indførelse af et videoovervågningssystem som det i hovedsagen omhandlede, der er installeret i fællesarealerne i en beboelsesejendom, for at forfølge legitime interesser bestående i at tilvejebringe sikkerhed for og beskyttelse af personer og ejendom, uden de registreredes samtykke.
34 Det bemærkes, at overvågning, der foretages gennem videooptagelse af personer, og som kontinuerligt bliver opbevaret på en optagerenhed, dvs. en harddisk, i henhold til artikel 3, stk. 1, i direktiv 95/46 udgør behandling af personoplysninger, der foretages ved hjælp af edb (dom af 11.12.2014, Ryneš, C-212/13, EU:C:2014:2428, præmis 25).
35 Et videoovervågningssystem med kameraer skal derfor kvalificeres som behandling af personoplysninger, der foretages ved hjælp af edb, i denne bestemmelses forstand, når den enhed, som er opsat, gør det muligt at registrere og opbevare personoplysninger såsom billeder, der gør det muligt at identificere fysiske personer. Det påhviler den forelæggende ret at efterprøve, om det i hovedsagen omhandlede system har disse karakteristika.
36 Desuden skal enhver behandling af personoplysninger foregå i overensstemmelse med både principperne vedrørende oplysningernes pålidelighed, der er fastsat i artikel 6 i direktiv 95/46, og et af de principper vedrørende grundlaget for behandling af oplysninger, der er opregnet i direktivets artikel 7 (dom af 13.5.2014, Google Spain og Google, C-131/12, EU:C:2014:317, præmis 71 og den deri nævnte retspraksis).
37 Artikel 7 i direktiv 95/46 fastsætter en udtømmende og fuldstændig liste over de tilfælde, hvor behandling af personoplysninger kan anses for at være lovlig. Medlemsstaterne kan hverken tilføje nye principper vedrørende grundlaget for behandling af personoplysninger i den nævnte artikel eller fastsætte supplerende krav, som ændrer rækkevidden af et af de seks principper, der er fastsat i denne artikel (dom af 19.10.2016, Breyer, C-582/14, EU:C:2016:779, præmis 57).
38 Det følger heraf, at en behandling af personoplysninger for at kunne anses for at være lovlig skal være omfattet af et af de seks tilfælde, som er omhandlet i artikel 7 i direktiv 95/46.
39 De spørgsmål, som den forelæggende ret har stillet, vedrører navnlig princippet vedrørende grundlaget for behandling af oplysninger i artikel 7, litra f), i direktiv 95/46, hvilken bestemmelse blev gennemført i rumænsk ret ved artikel 5, stk. 2, litra e), i lov nr. 677/2001, som artikel 6 i ANSPDCP’s afgørelse nr. 52/2012 ligeledes henviser til hvad specifikt angår behandling af personoplysninger ved hjælp af videoovervågning.
40 I denne henseende fastsættes i artikel 7, litra f), i direktiv 95/46 tre kumulative betingelser for, at en behandling af personoplysninger er lovlig, nemlig for det første, at den registeransvarlige eller den tredjemand eller de tredjemænd, til hvem oplysningerne videregives, forfølger en legitim interesse, for det andet, at behandlingen af personoplysninger er nødvendig for at forfølge den legitime interesse, og for det tredje betingelsen om, at de grundlæggende rettigheder og frihedsrettigheder, der tilkommer den person, der er omfattet af beskyttelsen af oplysningerne, ikke går forud for den legitime interesse (dom af 4.5.2017, Rīgas satiksme, C-13/16, EU:C:2017:336, præmis 28).
41 Det skal understreges, at artikel 7, litra f), i direktiv 95/46 ikke kræver den registreredes samtykke. Samtykkekravet findes – som betingelse for, at behandlingen af personoplysninger kan finde sted – alene i dette direktivs artikel 7, litra a).
42 I det foreliggende tilfælde kan det formål, som den registeransvarlige i det væsentlige forfølger, når den pågældende opsætter et videoovervågningssystem som det i hovedsagen omhandlede, nemlig at beskytte ejendom, sundhed og liv for ejerne af en ejendom, kvalificeres som en »legitim interesse« som omhandlet i artikel 7, litra f), i direktiv 95/46. Den første betingelse, som er fastsat i denne bestemmelse, synes således i princippet at være opfyldt (jf. analogt dom af 11.12.2014, C-212/13, EU:C:2014:2428, præmis 34).
43 Den forelæggende ret ønsker imidlertid oplyst, om den første af betingelserne i artikel 7, litra f), skal forstås således, at den interesse, som den pågældende registeransvarlige forfølger, skal være dels »dokumenteret«, dels »eksisterende og effektiv på tidspunktet for behandlingen«.
44 I denne forbindelse bemærkes, således som den rumænske og den tjekkiske regering, Irland, den østrigske og den portugisiske regering samt Kommissionen ligeledes har gjort gældende, at når den registeransvarlige eller den tredjemand, til hvem oplysningerne videregives, i henhold til artikel 7, litra f), i direktiv 95/46 skal forfølge en legitim interesse, som begrunder behandlingen, skal denne interesse være eksisterende og effektiv på tidspunktet for behandlingen og ikke have en hypotetisk karakter på dette tidspunkt. Det kan imidlertid ikke ved bedømmelsen af samtlige omstændigheder i den konkrete sag nødvendigvis kræves, at der tidligere er blevet gjort indgreb i sikkerheden for ejendom og personer.
45 I det foreliggende tilfælde synes betingelsen om en eksisterende og effektiv interesse under alle omstændigheder at være opfyldt i en situation som den i hovedsagen omhandlede, for så vidt som den forelæggende ret har anført, at der før indførelsen af videoovervågningssystemet var sket tyverier, indbrud og hærværk, på trods af at der i ejendommens entré var blevet installeret et sikret system med dørtelefon og magnetkort.
46 Med hensyn til den anden betingelse i artikel 7, litra f), i direktiv 95/46, hvorefter det skal være nødvendigt at foretage en behandling af personoplysninger for at opfylde den legitime interesse, som forfølges, har Domstolen henvist til, at undtagelser fra og begrænsninger af beskyttelsen af personoplysninger skal holdes inden for det strengt nødvendige (dom af 4.5.2017, Rīgas satiksme, C-13/16, EU:C:2017:336, præmis 30 og den deri nævnte retspraksis).
47 Denne betingelse indebærer, at den forelæggende ret skal efterprøve, om den legitime interesse, som forfølges med behandlingen af personoplysninger ved den i hovedsagen omhandlede videoovervågning, som i det væsentlige består i at tilvejebringe sikkerhed for ejendom og personer og forhindre lovovertrædelser, ikke med rimelighed kan beskyttes lige så effektivt ved andre midler, som er mindre indgribende i de registreredes grundlæggende friheder og rettigheder, navnlig retten til respekt for privatlivet og beskyttelse af personoplysninger som sikret ved chartrets artikel 7 og 8.
48 Desuden skal betingelsen vedrørende behandlingens nødvendighed som anført af Kommissionen undersøges sammen med princippet om såkaldt »dataminimering« i artikel 6, stk. 1, litra c), i direktiv 95/46, hvorefter personoplysningerne skal være »relevante og tilstrækkelige og ikke omfatte mere end, hvad der kræves til opfyldelse af de formål, hvortil de indsamles, og til de formål, hvortil de senere behandles«.
49 Det fremgår af de sagsakter, som Domstolen råder over, at der synes at være blevet taget hensyn til kravene vedrørende proportionaliteten af den i hovedsagen omhandlede behandling af oplysninger. Det er nemlig ubestridt, at der i første omgang blev anvendt alternative foranstaltninger i form af et sikkerhedssystem installeret i ejendommens entré med en dørtelefon og et magnetkort, hvilket dog ikke var tilstrækkeligt. Desuden anvendes det omhandlede videoovervågningssystem alene i ejendommens fællesarealer og på adgangsvejene hertil.
50 Proportionaliteten af behandlingen af oplysninger ved hjælp af et videoovervågningssystem skal imidlertid bedømmes under hensyntagen til, hvordan dette system konkret er opsat og fungerer, idet der herved skal være taget hensyn til at begrænse indvirkningen på de registreredes rettigheder og friheder og samtidigt sikre effektiviteten af det omhandlede videoovervågningssystem.
51 Som Kommissionen har gjort gældende, indebærer betingelsen om behandlingens nødvendighed således, at den registeransvarlige f.eks. skal undersøge, om det er tilstrækkeligt, at videoovervågningen kun er aktiv om natten eller uden for normal arbejdstid, og blokere eller sløre billeder, som optages på steder, hvor overvågningen ikke er nødvendig.
52 Hvad endelig angår den tredje betingelse, som er fastsat i artikel 7, litra f), i direktiv 95/46, og som vedrører den registreredes grundlæggende rettigheder og frihedsrettigheder, der kan gå forud for den legitime interesse, som den registeransvarlige eller den tredjemand eller de tredjemænd, til hvem oplysningerne videregives, forfølger, bemærkes, at som det allerede er blevet nævnt i nærværende doms præmis 32, er det ved vurderingen af denne betingelse nødvendigt at foretage en afvejning af de pågældende modstående rettigheder og interesser, som afhænger af de konkrete omstændigheder i det enkelte tilfælde, i forbindelse med hvilken der skal tages hensyn til vigtigheden af den registreredes rettigheder, som følger af chartrets artikel 7 og 8.
53 Domstolen har i denne sammenhæng fastslået, at artikel 7, litra f), i direktiv 95/46 er til hinder for, at en medlemsstat kategorisk og generelt udelukker muligheden for behandling af visse kategorier af personoplysninger uden at tillade en afvejning af de i en konkret sag foreliggende modstående rettigheder og interesser. En medlemsstat kan således ikke for disse kategorier definitivt foreskrive resultatet af afvejningen af de modstående rettigheder og interesser uden at tillade et anderledes resultat som følge af særlige omstændigheder i det konkrete tilfælde (dom af 19.10.2016, Breyer, C-582/14, EU:C:2016:779, præmis 62).
54 Det fremgår ligeledes af Domstolens praksis, at det med henblik på at foretage denne afvejning er muligt at tage hensyn til, at grovheden af den krænkelse af den registreredes grundlæggende rettigheder, der er sket ved nævnte behandling, kan variere alt efter, om de pågældende oplysninger allerede fremgår af offentligt tilgængelige kilder (jf. i denne retning dom af 4.5.2017, Rīgas satiksme, C-13/16, EU:C:2017:336, præmis 32).
55 Til forskel fra behandling af oplysninger, der stammer fra offentligt tilgængelige kilder, indebærer behandling af oplysninger, der stammer fra kilder, som ikke er offentligt tilgængelige, at oplysninger om den registreredes persons privatliv herefter vil være kendt af den registeransvarlige og i givet fald af den tredjemand eller de tredjemænd, til hvem oplysningerne videregives. Denne mere alvorlige krænkelse af den registreredes rettigheder som omhandlet i chartrets artikel 7 og 8 skal tages i betragtning og afvejes med den legitime interesse, der forfølges af den registeransvarlige eller af den tredjemand eller de tredjemænd, til hvem oplysningerne videregives (jf. i denne retning dom af 24.11.2011, Asociación Nacional de Establecimientos Financieros de Crédito, C-468/10 og C-469/10, EU:C:2011:777, præmis 45).
56 Kriteriet om grovheden af krænkelsen af den registreredes rettigheder og friheder er et væsentligt element ved den konkrete afvejning eller vægtning, som kræves efter artikel 7, litra f), i direktiv 95/46.
57 I denne henseende skal der bl.a. tages hensyn til karakteren af de omhandlede personoplysninger, herunder navnlig om der er tale om eventuelt følsomme oplysninger, og til karakteren af og de konkrete omstændigheder i forbindelse med behandlingen af de pågældende oplysninger, herunder navnlig antallet af personer, som har adgang til disse oplysninger, og måderne, hvorpå adgang kan opnås.
58 Ved denne afvejning er også den registreredes berettigede forventning om, at den pågældendes personoplysninger ikke vil blive behandlet, relevant, når den registrerede efter omstændighederne i den foreliggende sag ikke med rimelighed kan forvente, at en senere behandling af disse vil finde sted.
59 Endelig skal disse elementer afvejes mod den betydning, som den legitime interesse, der i det foreliggende tilfælde forfølges med videoovervågningssystemet, har for alle ejerne af den pågældende ejendom, for så vidt som dette system i det væsentlige tager sigte på at beskytte disse ejeres ejendom, sundhed og liv.
60 Henset til det ovenstående skal de forelagte spørgsmål besvares med, at artikel 6, stk. 1, litra c), og artikel 7, litra f), i direktiv 95/46, sammenholdt med chartrets artikel 7 og 8, skal fortolkes således, at de ikke er til hinder for nationale bestemmelser, som tillader indførelse af et videoovervågningssystem som det i hovedsagen omhandlede, der er installeret i fællesarealerne i en beboelsesejendom, for at forfølge legitime interesser bestående i at tilvejebringe sikkerhed for og beskyttelse af personer og ejendom, uden de registreredes samtykke, hvis behandlingen af personoplysninger ved hjælp af det pågældende videoovervågningssystem opfylder betingelserne i nævnte direktivs artikel 7, litra f), hvilket det påhviler den forelæggende ret at efterprøve.
Sagsomkostninger
61 Da sagens behandling i forhold til hovedsagens parter udgør et led i den sag, der verserer for den forelæggende ret, tilkommer det denne at træffe afgørelse om sagsomkostningerne. Bortset fra nævnte parters udgifter kan de udgifter, som er afholdt i forbindelse med afgivelse af indlæg for Domstolen, ikke erstattes.
På grundlag af disse præmisser kender Domstolen (Tredje Afdeling) for ret:
Artikel 6, stk. 1, litra c), og artikel 7, litra f), i Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger, sammenholdt med artikel 7 og 8 i Den Europæiske Unions charter om grundlæggende rettigheder, skal fortolkes således, at de ikke er til hinder for nationale bestemmelser, som tillader indførelse af et videoovervågningssystem som det i hovedsagen omhandlede, der er installeret i fællesarealerne i en beboelsesejendom, for at forfølge legitime interesser bestående i at tilvejebringe sikkerhed for og beskyttelse af personer og ejendom, uden de registreredes samtykke, hvis behandlingen af personoplysninger ved hjælp af det pågældende videoovervågningssystem opfylder betingelserne i nævnte direktivs artikel 7, litra f), hvilket det påhviler den forelæggende ret at efterprøve.
Underskrifter