РЕШЕНИЕ НА СЪДА (четвърти състав)
11 декември 2014 година(*)
„Преюдициално запитване — Директива 95/46/ЕО — Защита на физическите лица — Обработване на лични данни — Понятието „в хода на [изцяло] лични или домашни занимания“
По дело C‑212/13,
с предмет преюдициално запитване, отправено на основание член 267 ДФЕС от Nejvyšší správní soud (Чешка република), с акт от 20 март 2013 г., постъпил в Съда на 19 април 2013 г., в рамките на производството по дело
František Ryneš
срещу
Úřad pro ochranu osobních údajů,
СЪДЪТ (четвърти състав),
състоящ се от: L. Bay Larsen, председател на състава, K. Jürimäe, J. Malenovský, M. Safjan (докладчик) и A. Prechal, съдии,
генерален адвокат: N. Jääskinen,
секретар: I. Illéssy, администратор,
предвид изложеното в писмената фаза на производството и в съдебното заседание от 20 март 2014 г.,
като има предвид становищата, представени:
– за F. Ryneš, от M. Šalomoun, advokát,
– за Úřad pro ochranu osobních údajů, от I. Němec, advokát и J. Prokeš,
– за чешкото правителство, от M. Smolek и J. Vláčil, в качеството на представители,
– за испанското правителство, от A. Rubio González, в качеството на представител,
– за италианското правителство, от G. Palmieri, в качеството на представител, подпомагана от P. Gentili, avvocato dello Stato,
– за австрийското правителство, от A. Posch и G. Kunnert, в качеството на представители,
– за полското правителство, от B. Majczyna, J. Fałdyga и M. Kamejsza, в качеството на представители,
– за португалското правителство, от L. Inez Fernandes и C. Vieira Guerra, в качеството на представители,
– за правителството на Обединеното кралство, от L. Christie, в качеството на представител, подпомаган от J. Holmes, barrister,
– за Европейската комисия, от B. Martenczuk, P. Němečková и Z. Malůšková, в качеството на представители,
след като изслуша заключението на генералния адвокат, представено в съдебното заседание от 10 юли 2014 г.,
постанови настоящото
Решение
1 Преюдициалното запитване се отнася до тълкуването на член 3, параграф 2 от Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (OВ L 281, стр. 31; Специално издание на български език, 2007 г., глава 13, том 17, стр. 10).
2 Запитването е подадено в рамките на съдебен спор между г‑н Ryneš и Úřad pro ochranu osobních údajů (Служба за защита на личните данни, наричана по-нататък „Úřad“), по повод на решение на последната, с което се установява, че г‑н Ryneš е допуснал множество нарушения във връзка със защитата на лични данни.
Правна уредба
Правото на Съюза
3 Съображения 10, 12 и 14—16 от Директива 95/46 гласят:
„(10) […] предмет на националните законодателства, отнасящи се до обработването на данни, е осигуряване спазването на основните права и свободи и по-конкретно правото на личен живот, което се признава както в член 8 на Европейската конвенция за защита на правата на човека и основните свободи, така и от общите принципи на правото на Общността; […] поради тази причина сближаването на тези законодателства не трябва да доведе до намаляване степента на защита, която те осигуряват, а обратно — да има за цел гарантиране на висока степен на защита в Общността;
[…]
(12) […] трябва да се изключи обработването на данни, извършвано от физическо лице при упражняване на дейности, които са изключително лични или домашни, например кореспонденция и поддържане на адресни указатели;
[…]
(14) […] поради значимостта на извършващото се понастоящем развитие в рамките на информационното общество, на техниките, използвани за улавяне, предаване, манипулиране, запис, съхранение и предаване на звук и картина, отнасящи се до физическите лица, настоящата директива следва да се прилага за обработването на такива данни;
(15) […] обработката на такива данни се обхваща от настоящата директива, само ако тя е автоматизирана или ако обработваните данни се съдържат или са предназначени да се съдържат във файлова система, структурирана съгласно определени критерии, отнасящи се до лица, с цел осигуряване на лесен достъп до въпросните лични данни;
(16) […] обработването на звук и картина, например при видео- наблюдение, не попада в приложното поле на настоящата директива при условие че то се извършва за целите на обществената сигурност, отбраната, националната сигурност или при държавни дейности, свързани с областта на наказателното право или с други дейности, които не попадат в приложното поле на правото на Общността“.
4 Съгласно член 2 от тази директива:
„По смисъла на настоящата директива:
a) „лични данни“ означава всяка информация, свързана с идентифицирано или подлежащо на идентификация лице („съответно физическо лице“); за подлежащо на идентифициране лице се смята това лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез […] един или повече специфични признаци, отнасящи се до неговата физическа […] самоличност;
б) „обработване на лични данни“ („обработване“) означава всяка операция или [всеки] набор от операции, извършвани или не с автоматични средства, прилагани към личните данни, като събиране, запис, организиране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друга форма на предоставяне на данните, актуализиране или комбиниране, блокиране, изтриване или унищожаване;
в) „файл с лични данни“ („файл“) означава всеки структуриран набор от лични данни, достъпен по определени критерии, централизиран, децентрализиран или разпределен по функционален или географски принцип;
г) „администратор“ означава физическо […] лице, […] ко[е]то сам[о] или съвместно с други определя целите и средствата на обработка на лични данни […]“.
5 Член 3 от посочената директива гласи:
„1. Настоящата директива се прилага към пълната или частична обработка на лични данни с автоматизирани средства, както и към обработката със средства, които не са автоматизирани, на лични данни, съставляващи част от файлова система, или които са предназначени да съставляват част от файлова система.
2. Настоящата директива не се прилага за обработването на лични данни:
– при извършване на дейности, извън приложното поле на правото на Общността, например дейностите, предвидени в дял V и дял VІ от Договора за Европейския съюз, и във всички случаи при дейности по обработването на данни, отнасящи се до обществената сигурност, отбраната, държавната сигурност (включително икономическото благосъстояние на държавата, когато процесът на обработка е свързани с държавната сигурност) и при дейности на държавата в областта на наказателното право;
– когато се извършва от физическо лице в хода на [изцяло] лични или домашни занимания“.
6 Член 7 от същата директива е формулиран по следния начин:
„Държавите членки предвиждат, че обработването на лични данни може да се извършва, само ако:
а) съответното физическо лице е дало недвусмислено своето съгласие за това; или
[…]
е) обработването е необходимо за целите на законните интереси, преследвани от администратора или от трето лице или лица, на които се разкриват данните, с изключение на случаите, когато пред тези интереси имат преимущество интереси, свързани с основните права и свободи на съответното физическо лице, които изискват защита по силата на член 1, параграф 1“.
7 Член 11 от Директива 95/46 предвижда:
„1. Когато данните не са получени от съответното физическо лице, държавите членки предвиждат, че администраторът […] трябва, при записването на личните данни […], да предостави на съответното физическо лице най-малко следната информация, освен в случаите, когато то вече я притежава:
a) самоличността на администратора […];
б) целите на обработването;
в) всякаква допълнителна информация, като:
– категориите данни;
– получателите или категориите получатели на данни;
– наличието на право на достъп и на право на поправка на данните, които се отнасят до него,
доколкото подобна информация е необходима, като се отчитат конкретните обстоятелства, при които се обработват данните, за гарантиране на справедливата им обработка по отношение на съответното физическо лице.
2. Параграф 1 не се прилага в случаите, когато, в частност, при обработка за статистически цели или за целите на историческо или научно изследване, предоставянето на подобна информация се оказва невъзможно или е свързано с прекомерно усилие, или ако записът или разкриването е постановено изрично от закона. В тези случаи държавите членки предоставят подходящи гаранции“.
8 Член 13, параграф 1 от посочената директива предвижда:
„Държавите членки могат да приемат законодателни мерки за ограничаване на обхвата на правата и задълженията, предвидени в член […] 11, параграф 1, […] ако подобно ограничаване представлява необходима мярка за гарантиране на:
[…]
г) предотвратяването, разследването, разкриването и преследването на углавни престъпления или за нарушения на етичните кодекси при регламентираните професии;
[…]
ж) защита на […] правата и свободите на други лица“.
9 Съгласно член 18, параграф 1 от посочената директива:
„Държавите членки предвиждат, че администраторът […] трябва да уведом[и] надзорния орган […] преди извършването изцяло или частично на операция по автоматизирана обработка или серия от такива операции, предназначени за една и съща или няколко свързани помежду си цели“.
Чешкото право
10 Член 3, параграф 3 от Закон № 101/2000 Sb. относно защитата на личните данни и за изменение на някои закони (наричан по-нататък „Закон № 101/2000“), предвижда:
„Настоящият закон не се прилага за обработването на лични данни, осъществявано от физическо лице изключително за лично ползване“.
11 Член 44, параграф 2 от този закон предвижда отговорност за администратора на лични данни, който извършва нарушение, когато обработва тези данни без съгласието на засегнатото лице, когато не предоставя на последното необходимата информация и когато не спазва задължението за уведомяване на компетентния орган.
12 В съответствие с член 5, параграф 2 от посочения закон обработването на лични данни по принцип е възможно само със съгласието на засегнатото лице. При липсата на такова съгласие посоченото обработване може да се извърши, ако е необходимо с оглед на защитата на правата и защитените от закона интереси на администратора, на адресата или на друго засегнато лице. Това обработване все пак не трябва да накърнява правото на засегнатото лице на частна сфера и личен живот.
Спорът в главното производство и преюдициалният въпрос
13 В периода от 5 октомври 2007 г. до 11 април 2008 г. г‑н Ryneš е инсталирал и използвал система за видеонаблюдение, разположена под стряхата на семейната му къща. Камерата е била закрепена неподвижно, без възможност за завъртане, и е заснемала входа на тази къща, обществения път и входа на разположената на отсрещната страна къща. Системата е позволявала единствено видеозаснемане, което се е записвало върху устройство за дълготрайно запаметяване, а именно твърд диск. При запълване на паметта устройството е изтривало съществуващия запис, като е записвало върху него нов. Записващото устройство не е било снабдено с монитор, поради което не е било възможно да се гледа картина в реално време. Единствено г‑н Ryneš е имал пряк достъп до системата и до данните.
14 Запитващата юрисдикция отбелязва, че единствената причина за използването на тази камера от г‑н Ryneš е била защитата на неговото собствено и на семейството му имущество, здраве и живот. В действителност както той, така и семейството му в продължение на години са били обект на посегателства от страна на непознат, чиято самоличност така и не е била разкрита. Освен това прозорците на семейната му къща са били разбивани многократно в периода 2005—2007 г.
15 През нощта на 6 срещу 7 октомври 2007 г. е било извършено ново посегателство. Един от прозорците на въпросната къща е бил счупен с изстрел от прашка. Благодарение на въпросната система за видеонаблюдение са били идентифицирани двама заподозрени. Записите са били предадени в полицията и впоследствие използвани в рамките на образуваното наказателно производство.
16 Въз основа на искане от един от тези заподозрени да бъде извършена проверка на законността на системата за видеонаблюдение на г‑н Ryneš, с решение от 4 август 2008 г. Úřad приема, че последният е извършил нарушения на Закон № 101/2000, поради факта че:
– като администратор на лични данни е придобил посредством системата за видеонаблюдение, инсталирана в жилището му, лични данни на лицата, движещи се по улицата пред къщата и влизащи в къщата от отсрещната страна на улицата, без тяхно съгласие,
– засегнатите лица не са били информирани за обработването на личните им данни, както и за степента и целта на обработването им, от кого и с какви средства те ще бъдат обработвани и кой ще има достъп до тях, и
– като администратор г‑н Ryneš не е изпълнил задължението си да уведоми Úřad за обработването.
17 Г‑н Ryneš е подава жалба срещу това решение, която Městský soud v Praze (окръжен съд, Прага) отхвърля с решение от 25 април 2012 г. Г‑н Ryneš подава касационна жалба срещу това решение пред запитващата юрисдикция.
18 При тези обстоятелства Nejvyšší správní soud (Върховен административен съд) решава да спре производството и да постави на Съда следния преюдициален въпрос:
„Може ли използването на система за видеонаблюдение, разположена в семейното жилище за защита на собствеността, здравето и живота на собствениците му, да се окачестви като обработване на лични данни „от физическо лице в хода на [изцяло] лични или домашни занимания“ по смисъла на член 3, параграф 2 от Директива 95/46[…], въпреки че системата за наблюдение покрива и обществени места?“.
По преюдициалния въпрос
19 С въпроса си запитващата юрисдикция пита по същество дали член 3, параграф 2, второ тире от Директива 95/46 трябва да се тълкува в смисъл, че използването на система за видеонаблюдение, извършваща видеозаснемане на хора, съхранявано върху устройство за дълготрайно запаметяване, а именно твърд диск, която е инсталирана от физическо лице в семейната му къща за защита на собствеността, здравето и живота на собствениците на къщата, като системата покрива и обществени места, представлява обработване на лични данни при извършване на изцяло лични или домашни занимания по смисъла на тази разпоредба.
20 Уместно е да се припомни, че съгласно член 3, параграф 1 от тази директива той се прилага по отношение на „пълната или частична обработка на лични данни с автоматизирани средства, както и към обработката със средства, които не са автоматизирани, на лични данни, съставляващи част от файлова система, или които са предназначени да съставляват част от файлова система“.
21 Понятието „лични данни“, което фигурира в тази разпоредба, включва, съгласно определението в член 2, буква a) от Директива 95/46, „всяка информация, свързана с идентифицирано или подлежащо на идентификация лице“. За подлежащо на идентифициране се смята „лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез […] един или повече специфични признаци, отнасящи се до неговата физическа […] самоличност“.
22 Следователно заснемането на дадено лице с камера представлява лични данни по смисъла на посочената в предходната точка разпоредба, доколкото то позволява това лице да бъде идентифицирано.
23 Що се отнася до понятието „обработване на лични данни“, следва да се отбележи, че то е определено в член 2, буква б) от Директива 95/46, като „всяка операция или [всеки] набор от операции, […] прилагани към личните данни, като събиране, запис, […] съхранение“.
24 Така от съображения 15 и 16 от Директива 95/46 следва по-специално че видеонаблюдението по принцип попада в приложното поле на тази директива, доколкото то представлява автоматизирано обработване.
25 Когато обаче едно наблюдение е извършено посредством видеозаснемане на лица, както в главното производство, записано върху устройство за дългосрочно съхранение, а именно твърд диск, представлява, в съответствие с член 3, параграф 1 от Директива 95/46, обработване на лични данни с автоматизирани средства.
26 Запитващата юрисдикция си поставя въпроса дали такова обработване, при положение като това в главното производство, все пак не е изключено от приложното поле на директивата, когато се извършва „в хода на [изцяло] лични или домашни занимания“, по смисъла на член 3, параграф 2, второ тире от посочената директива.
27 Както следва от член 1 и от съображение 10 от Директива 95/46, нейната цел е да се гарантира висока степен на защита на основните права и свободи на физическите лица, и в частност на правото им на личен живот при обработването на лични данни (вж. решение Google Spain и Google, C‑131/12, EU:C:2014:317, т. 66).
28 В това отношение е важно да се отбележи, че съгласно постоянната съдебна практика зачитането на личния живот, гарантирано в член 7 от Хартата на основните права на Европейския съюз, изисква във всички случаи изключенията и ограниченията на защитата на личните данни да се въвеждат в границите на строго необходимото (вж. решения IPI, C‑473/12, EU:C:2013:715, т. 39 и Digital Rights Ireland и др., C‑293/12 и C‑594/12, EU:C:2014:238, т. 52).
29 Доколкото разпоредбите на Директива 95/46, уреждащи обработването на личните данни, което може да засегне основните свободи, и по-специално правото на личен живот, по необходимост трябва да се тълкуват с оглед на основните права, които са закрепени в Хартата (вж. решение Google Spain и Google, EU:C:2014:317, т. 68), предвиденото в член 3, параграф 2, второ тире от тази директива изключение трябва да се тълкува стриктно.
30 Това стриктно тълкуване намира основание и в самия текст на тази разпоредба, която изключва от приложното поле на Директива 95/46 обработването на лични данни, извършвано не просто в хода на лични или домашни занимания, а в хода на „[изцяло]“ лични или домашни занимания.
31 С оглед изложените по-горе съображения следва да се отбележи, както генералният адвокат посочва в точка 53 от заключението си, че обработването на лични данни попада в изключението по член 3, параграф 2, второ тире от Директива 95/46 единствено когато се извършва в изключително личната или домашна сфера на лицето, което извършва обработването.
32 Така, що се отнася до физическите лица, кореспонденцията и съхранението на списъците с адреси, съгласно съображение 12 от Директива 95/46 те представляват „[изцяло] лични или домашни занимания“, дори ако по случайност засягат или могат да засегнат личния живот на други лица.
33 Доколкото видеонаблюдение като това в главното производство покрива, макар и частично, публични места и поради това е насочено извън личната сфера на лицето, което извършва по този начин обработване на данни, то не може да се счита за дейност, която е изцяло „лична или домашна“ по смисъла на член 3, параграф 2, второ тире от Директива 95/46.
34 В същото време приложението на разпоредбите на тази директива позволява, когато е необходимо, да се държи сметка, в съответствие по-специално с член 7, буква е), член 11, параграф 2 и член 13, параграф 1, букви г) и ж) от посочената директива, за законните интереси, преследвани от администратора, състоящи се по-специално, както в главното производство, в защита на собствеността, здравето и живота на администратора и тези на семейството му.
35 Следователно на поставения въпрос следва да се отговори, че член 3, параграф 2, второ тире от Директива 95/46 трябва да се тълкува в смисъл, че използването на система за видеонаблюдение, извършваща видеозаснемане на хора, съхранявано върху устройство за дълготрайно запаметяване, а именно твърд диск, която е инсталирана от физическо лице в семейната му къща за защита на собствеността, здравето и живота на собствениците на къщата, като системата покрива и обществени места, не представлява обработване на лични данни при извършване на изцяло лични или домашни занимания по смисъла на тази разпоредба.
По съдебните разноски
36 С оглед на обстоятелството, че за страните в главното производство настоящото дело представлява отклонение от обичайния ход на производството пред запитващата юрисдикция, последната следва да се произнесе по съдебните разноски. Разходите, направени за представяне на становища пред Съда, различни от тези на посочените страни, не подлежат на възстановяване.
По изложените съображения Съдът (четвърти състав) реши:
Член 3, параграф 2, второ тире от Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни трябва да се тълкува в смисъл, че използването на система за видеонаблюдение, извършваща видеозаснемане на хора, съхранявано върху устройство за дълготрайно запаметяване, а именно твърд диск, която е инсталирана от физическо лице в семейната му къща за защита на собствеността, здравето и живота на собствениците на къщата, като системата покрива и обществени места, не представлява обработване на лични данни при извършване на изцяло лични или домашни занимания по смисъла на тази разпоредба.
Подписи