HOTĂRÂREA CURȚII (Camera a treia)
11 decembrie 2019(*)
[Text îndreptat prin Ordonanța din 13 februarie 2020]
„Trimitere preliminară – Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Carta drepturilor fundamentale a Uniunii Europene – Articolele 7 și 8 – Directiva 95/46/CE – Articolul 6 alineatul (1) litera (c) și articolul 7 litera (f) – Legitimarea prelucrării datelor cu caracter personal – Reglementare națională care autorizează supravegherea video pentru asigurarea siguranței și a protecției persoanelor, a bunurilor și a valorilor și pentru realizarea unor interese legitime, fără consimțământul persoanei vizate – Instalarea unui sistem de supraveghere video în părțile comune ale unui imobil cu destinație de locuință”
În cauza C‑708/18,
având ca obiect o cerere de decizie preliminară formulată în temeiul articolului 267 TFUE de Tribunalul București (România), prin decizia din 2 octombrie 2018, primită de Curte la 6 noiembrie 2018, în procedura
TK
împotriva
Asociației de Proprietari bloc M5A‑Scara A,
CURTEA (Camera a treia),
compusă din doamna A. Prechal (raportoare), președintă de cameră, doamna L. S. Rossi și domnii J. Malenovský, F. Biltgen și N. Wahl, judecători,
avocat general: domnul G. Pitruzzella,
grefier: domnul A. Calot Escobar,
având în vedere procedura scrisă,
luând în considerare observațiile prezentate:
– pentru guvernul român, de C.‑R. Canțăr, de O.‑C. Ichim și de A. Wellman, în calitate de agenți;
– pentru guvernul ceh, de M. Smolek, de J. Vláčil și de O. Serdula, în calitate de agenți;
– pentru guvernul danez, de J. Nymann‑Lindegren, de M. Wolff și de P. Z. L. Ngo, în calitate de agenți;
– [Astfel cum a fost îndreptat prin Ordonanța din 13 februarie 2020] pentru Irlanda, de M. Browne, de G. Hodge și de A. Joyce, în calitate de agenți, asistați de D. Fennelly, BL;
– pentru guvernul austriac, inițial de G. Hesse și de J. Schmoll, ulterior de J. Schmoll, în calitate de agenți;
– pentru guvernul portughez, de L. Inez Fernandes, de P. Barros da Costa, de L. Medeiros, de I. Oliveira și de M. Cancela Carvalho, în calitate de agenți;
– pentru Comisia Europeană, de H. Kranenborg, de D. Nardi și de L. Nicolae, în calitate de agenți,
având în vedere decizia de judecare a cauzei fără concluzii, luată după ascultarea avocatului general,
pronunță prezenta
Hotărâre
1 Cererea de decizie preliminară privește interpretarea articolului 6 alineatul (1) litera (e) și a articolului 7 litera (f) din Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (JO 1995, L 281, p. 31, Ediție specială, 13/vol. 17, p. 10), precum și a articolelor 8 și 52 din Carta drepturilor fundamentale a Uniunii Europene (denumită în continuare „carta”).
2 Această cerere a fost formulată în cadrul unui litigiu între TK, pe de o parte, și Asociația de Proprietari bloc M5A‑Scara A (România, denumită în continuare „asociația de proprietari”), pe de altă parte, cu privire la cererea TK de a se dispune ca această asociație să scoată din funcțiune sistemul de supraveghere video al acestui imobil și să demonteze camerele instalate în părțile comune ale acestuia.
Cadrul juridic
Dreptul Uniunii
3 Directiva 95/46 a fost abrogată și înlocuită, cu efect de la 25 mai 2018, prin Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date (JO 2016, L 119, p. 1). Cu toate acestea, ținând seama de data faptelor în discuție în litigiul principal, acesta din urmă rămâne guvernat de dispozițiile acestei directive.
4 Potrivit articolului 1 din Directiva 95/46, aceasta avea ca obiect protejarea drepturilor și libertăților fundamentale ale persoanei și în special a dreptului la viața privată în ceea ce privește prelucrarea datelor cu caracter personal, precum și eliminarea obstacolelor din calea liberei circulații a acestor date.
5 Articolul 3 din această directivă prevedea la alineatul (1):
„Prezenta directivă se aplică prelucrării automate, în totalitate sau parțial, precum și prelucrării neautomate a datelor cu caracter personal, conținute sau care urmează să fie conținute într‑un sistem de evidență a datelor cu caracter personal.”
6 Capitolul II din directiva menționată cuprindea o secțiune I, intitulată „Principii referitoare la calitatea datelor”, compusă din articolul 6 din aceeași directivă, care prevedea:
„(1) Statele membre stabilesc că datele cu caracter personal trebuie să fie:
(a) prelucrate în mod corect și legal;
(b) colectate în scopuri determinate, explicite și legitime și să nu mai fie prelucrate ulterior într‑un mod incompatibil cu aceste scopuri. Prelucrarea ulterioară a datelor în scopuri istorice, statistice sau științifice nu este considerată incompatibilă atât timp cât statele membre prevăd garanții corespunzătoare;
(c) adecvate, pertinente și neexcesive în ceea ce privește scopurile pentru care sunt colectate și prelucrate ulterior;
(d) exacte și, dacă este necesar, actualizate; trebuie luate toate măsurile necesare pentru ca datele inexacte sau incomplete din punctul de vedere al scopului pentru care sunt colectate sau pentru care vor fi prelucrate ulterior să fie șterse sau rectificate;
(e) păstrate într‑o formă care permite identificarea persoanelor vizate o perioadă nu mai lungă decât este necesar în vederea atingerii scopurilor pentru care au fost colectate sau pentru care vor fi prelucrate ulterior. Statele membre stabilesc garanțiile corespunzătoare pentru datele cu caracter personal care sunt stocate pe o perioadă mai mare decât cea menționată, în scopuri istorice, statistice sau științifice.
(2) Operatorul are obligația să asigure respectarea alineatului (1).”
7 În secțiunea II din acest capitol II, intitulată „Criterii privind legitimitatea prelucrării datelor”, articolul 7 din Directiva 95/46 avea următorul cuprins:
„Statele membre prevăd ca datele cu caracter personal să fie prelucrate numai dacă:
(a) persoana vizată și‑a dat consimțământul neechivoc
sau
(b) prelucrarea este necesară pentru executarea unui contract la care subiectul datelor este parte sau în vederea luării unor măsuri, la cererea acestuia, înainte de încheierea contractului
sau
(c) prelucrarea este necesară în vederea îndeplinirii unei obligații legale care îi revine operatorului
sau
(d) prelucrarea este necesară în scopul protejării interesului vital al persoanei vizate
sau
(e) prelucrarea este necesară pentru aducerea la îndeplinire a unei sarcini de interes public sau care rezultă din exercitarea autorității publice cu care este învestit operatorul sau terțul căruia îi sunt comunicate datele
sau
(f) prelucrarea este necesară pentru realizarea interesului legitim urmărit de operator sau de către unul sau mai mulți terți, cu condiția ca acest interes să nu prejudicieze interesul sau drepturile și libertățile fundamentale ale persoanei vizate, care necesită protecție în temeiul articolului 1 alineatul (1).”
Dreptul român
8 Legea nr. 677/2001 pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date (Monitorul Oficial, Partea I, nr. 790 din 12 decembrie 2001), astfel cum a fost modificată prin Legea nr. 102/2005 și prin Ordonanța de urgență a Guvernului nr. 36/2007, aplicabilă ratione temporis litigiului principal, a fost adoptată pentru a transpune Directiva 95/46 în dreptul român.
9 Articolul 5 din această lege prevedea:
„(1) Orice prelucrare de date cu caracter personal, cu excepția prelucrărilor care vizează date din categoriile menționate la articolul 7 alineatul (1) [și la] articolele 8 și 10, poate fi efectuată numai dacă persoana vizată și‑a dat consimțământul în mod expres și neechivoc pentru acea prelucrare.
(2) Consimțământul persoanei vizate nu este cerut în următoarele cazuri:
a) când prelucrarea este necesară în vederea executării unui contract sau antecontract la care persoana vizată este parte ori în vederea luării unor măsuri, la cererea acesteia, înaintea încheierii unui contract sau antecontract;
b) când prelucrarea este necesară în vederea protejării vieții, integrității fizice sau sănătății persoanei vizate ori a unei alte persoane amenințate;
c) când prelucrarea este necesară în vederea îndeplinirii unei obligații legale a operatorului;
d) când prelucrarea este necesară pentru aducerea la îndeplinire a unei sarcini de interes public sau care rezultă din exercitarea autorității publice cu care este învestit operatorul sau terțul căruia îi sunt comunicate datele;
e) când prelucrarea este necesară în vederea realizării unui interes legitim al operatorului sau al terțului căruia îi sunt dezvăluite datele, cu condiția ca acest interes să nu prejudicieze interesul sau drepturile și libertățile fundamentale ale persoanei vizate;
f) când prelucrarea privește date obținute din documente accesibile publicului, conform legii;
g) când prelucrarea este făcută exclusiv în scopuri statistice, de cercetare istorică sau științifică, iar datele rămân anonime pe toată durata prelucrării.
(3) Prevederile alineatului (2) nu aduc atingere dispozițiilor legale care reglementează obligația autorităților publice de a respecta și de a ocroti viața intimă, familială și privată.”
10 Decizia nr. 52/2012 a Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal (România, denumită în continuare „ANSPDCP”) privind prelucrarea datelor cu caracter personal prin utilizarea mijloacelor de supraveghere video, în versiunea aplicabilă litigiului principal, prevedea la articolul 1:
„Colectarea, înregistrarea, stocarea, utilizarea, transmiterea, dezvăluirea sau orice alte operațiuni de prelucrare a imaginilor prin mijloace de supraveghere video, care permit identificarea directă sau indirectă a persoanelor fizice, reprezintă operațiuni de prelucrare a datelor cu caracter personal ce intră sub incidența [Legii nr. 677/2001].”
11 Articolul 4 din această decizie prevedea:
„Supravegherea video poate fi efectuată, în principal, în următoarele scopuri:
a) prevenirea și combaterea săvârșirii infracțiunilor;
b) supravegherea traficului rutier și constatarea încălcării regulilor de circulație rutieră;
c) asigurarea pazei și protecției persoanelor, bunurilor și valorilor, a imobilelor și a instalațiilor de utilitate publică, precum și a împrejmuirilor afectate acestora;
d) îndeplinirea unor măsuri de interes public sau exercitarea prerogativelor de autoritate publică;
e) realizarea unor interese legitime, cu condiția să nu se prejudicieze drepturile și libertățile fundamentale sau interesul persoanelor vizate.”
12 Potrivit articolului 5 alineatele (1)-(3) din decizia menționată:
„(1) Supravegherea video poate fi efectuată în locuri și spații deschise sau destinate publicului, inclusiv pe căile publice de acces de pe domeniul public sau privat, în condițiile prevăzute de lege.
(2) Camerele de supraveghere video se montează în locuri vizibile.
(3) Este interzisă utilizarea mijloacelor de supraveghere video ascunse, cu excepția situațiilor prevăzute de lege.”
13 Articolul 6 din aceeași decizie prevedea:
„Prelucrarea datelor cu caracter personal prin utilizarea sistemelor de supraveghere video se efectuează cu consimțământul expres și neechivoc al persoanei vizate sau în cazurile prevăzute la articolul 5 alineatul (2) din Legea nr. 677/2001[…]”
Litigiul principal și întrebările preliminare
14 TK locuiește într‑un apartament, al cărui proprietar este, situat în imobilul M5A. La cererea anumitor coproprietari ai acestui imobil, asociația de proprietari a adoptat, cu ocazia unei adunări generale care a avut loc la 7 aprilie 2016, o decizie privind aprobarea instalării unor camere de supraveghere video în cadrul acestuia.
15 În executarea acestei decizii, trei camere de supraveghere video au fost instalate în părți comune ale imobilului M5A. Prima cameră era orientată spre fațada imobilului, în timp ce cea de a doua și cea de a treia cameră erau instalate în holul de la parter și, respectiv, în ascensorul imobilului.
16 TK s‑a opus instalării acestui sistem de supraveghere video, pentru motivul că aceasta constituia o încălcare a dreptului la respectarea vieții private.
17 Întrucât a constatat că, în pofida numeroaselor sale demersuri și a recunoașterii scrise de către asociația de proprietari a nelegalității sistemului de supraveghere video instalat, acest sistem continua să funcționeze, TK a sesizat instanța de trimitere în scopul de a obliga asociația menționată să demonteze cele trei camere și să le scoată din funcțiune definitiv, sub sancțiunea impunerii unei amenzi civile.
18 În fața acestei instanțe, TK a susținut că sistemul de supraveghere video în cauză încalcă dreptul primar și derivat al Uniunii, în special dreptul la respectarea vieții private, precum și legislația națională referitoare la dreptul la respectarea vieții private. Pe de altă parte, acesta a arătat că asociația de proprietari își asumase funcția de operator de date cu caracter personal fără să fi urmat procedura de înregistrare prevăzută în acest scop de lege.
19 Asociația de proprietari a arătat că decizia de a instala un sistem de supraveghere video a fost luată în scopul de a controla cât mai eficient posibil intrările și ieșirile din imobil, din cauza faptului că ascensorul fusese vandalizat în numeroase rânduri și că mai multe apartamente, precum și părțile comune făcuseră obiectul unor spargeri și furturi.
20 Aceasta a precizat de asemenea că alte măsuri pe care le‑a luat în prealabil, și anume instalarea unui sistem de intrare în imobil cu interfon și cu card magnetic, nu au împiedicat săvârșirea repetată de infracțiuni de aceeași natură.
21 În plus, asociația de proprietari i‑a transmis lui TK procesul‑verbal pe care îl întocmise cu societatea care a instalat camerele de supraveghere video, din care reiese că, la 21 octombrie 2016, s‑a procedat la ștergerea și la deconectarea hard diskului sistemului de supraveghere, că acesta a fost scos din funcțiune și că imaginile înregistrate au fost eliminate.
22 De asemenea, aceasta i‑a comunicat un alt proces‑verbal, din data de 18 mai 2017, din care reiese că cele trei camere de supraveghere video au fost demontate. Acest proces‑verbal precizează că asociația de proprietari a îndeplinit, între timp, procedura de înregistrare ca operator de date cu caracter personal.
23 Cu toate acestea, TK a susținut în fața instanței de trimitere că cele trei camere de supraveghere video erau încă în funcțiune.
24 Instanța de trimitere arată că, potrivit articolului 5 din Legea nr. 677/2001, regula generală este aceea că o prelucrare de date cu caracter personal, precum înregistrarea imaginilor prin intermediul unui sistem de supraveghere video, poate fi efectuată numai dacă persoana vizată și‑a dat consimțământul în mod expres și neechivoc. Alineatul (2) al aceluiași articol ar prevedea însă o serie de excepții de la această regulă, printre care figurează cea potrivit căreia prelucrarea datelor cu caracter personal este necesară pentru protecția vieții, a integrității fizice sau a sănătății persoanei vizate ori a unei alte persoane amenințate. Decizia nr. 52/2012 a ANSPDCP ar prevedea o excepție de aceeași natură.
25 Instanța de trimitere se referă în continuare, printre altele, la articolul 52 alineatul (1) din cartă, care consacră principiul potrivit căruia trebuie să existe un raport de proporționalitate între scopul urmărit prin ingerința în drepturile și libertățile cetățenilor și mijloacele utilizate.
26 Or, potrivit acestei instanțe, sistemul de supraveghere video în discuție în fața sa nu pare să fi fost utilizat într‑un mod sau într‑un scop care să nu corespundă obiectivului declarat de asociația de proprietari, și anume acela de a proteja viața, integritatea fizică și sănătatea persoanelor vizate, adică a coproprietarilor imobilului în care a fost instalat acest sistem.
27 În aceste condiții, Tribunalul București a hotărât să suspende judecarea cauzei și să adreseze Curții următoarele întrebări preliminare:
„(1) Articolele 8 și 52 din cartă, precum și articolul 7 litera (f) din Directiva 95/46 trebuie interpretate în sensul că se opun unor dispoziții naționale precum cele în discuție în litigiul principal, respectiv articolul 5 alineatul (2) din [Legea nr. 677/2001] și articolul 6 din [Decizia nr. 52/2012 a ANSPDCP], care prevede posibilitatea supravegherii video pentru asigurarea pazei și protecției persoanelor, bunurilor și valorilor și pentru realizarea unor interese legitime, fără consimțământul persoanei vizate?
(2) Articolele 8 și 52 din cartă trebuie interpretate în sensul că restrângerea drepturilor și libertăților prin supravegherea video respectă principiul proporționalității, cerința de «a fi necesară» și de a «răspunde obiectivelor de interes general sau necesității protejării drepturilor și libertăților celorlalți», în condițiile în care operatorul are posibilitatea de a lua alte măsuri de protejare a interesului legitim vizat?
(3) Articolul 7 litera (f) din Directiva 95/46 trebuie interpretat în sensul că «interesul legitim» al operatorului trebuie să fie dovedit, precum și să fie născut și actual prin raportare la momentul prelucrării?
(4) Articolul 6 alineatul (l) litera (e) din Directiva 95/46 trebuie interpretat în sensul că o prelucrare (supraveghere video) este excesivă sau nu este adecvată, în condițiile în care operatorul are posibilitatea de a lua alte măsuri de protejare a interesului legitim vizat?”
Cu privire la întrebările preliminare
28 Cu titlu introductiv, este necesar să se constate în primul rând că, deși instanța de trimitere se referă, prin intermediul celei de a patra întrebări, la articolul 6 alineatul (1) litera (e) din Directiva 95/46, ea nu furnizează nicio explicație cu privire la relevanța acestei dispoziții în vederea soluționării litigiului în discuție în cauza principală.
29 Astfel, dispoziția menționată privește numai cerințele pe care trebuie să le îndeplinească păstrarea datelor cu caracter personal. Or, nimic din dosarul de care dispune Curtea nu permite să se considere că litigiul principal se referă la acest aspect.
30 În schimb, în măsura în care, prin intermediul acestei întrebări, instanța de trimitere solicită în esență să se stabilească dacă instalarea unui sistem de supraveghere video precum cel în discuție în fața acesteia este proporțională cu scopurile urmărite, trebuie arătat că problema dacă datele cu caracter personal colectate de acest sistem răspund cerinței de proporționalitate se raportează la interpretarea articolului 6 alineatul (1) litera (c) din Directiva 95/46.
31 Or, această din urmă dispoziție trebuie luată în considerare cu ocazia verificării celei de a doua condiții de aplicabilitate prevăzute la articolul 7 litera (f) din Directiva 95/46, potrivit căreia prelucrarea datelor cu caracter personal trebuie să fie „necesară” pentru realizarea interesului legitim urmărit.
32 În al doilea rând, prin intermediul primei și al celei de a doua întrebări, instanța de trimitere se referă la articolele 8 și 52 din cartă, considerate în mod izolat sau coroborate cu articolul 7 litera (f) din Directiva 95/46. Or, Curtea a precizat deja că aprecierea condiției prevăzute la această dispoziție, referitoare la existența unor drepturi și a unor libertăți fundamentale ale persoanei vizate de protecția datelor care ar prevala asupra interesului legitim urmărit de operatorul datelor sau de terții cărora le sunt comunicate datele, necesită să se procedeze la o ponderare a drepturilor și a intereselor opuse în cauză în funcție de împrejurările concrete ale cazului respectiv, în cadrul căreia trebuie să se țină cont de importanța drepturilor persoanei vizate care rezultă din articolele 7 și 8 din cartă (Hotărârea din 24 noiembrie 2011, Asociación Nacional de Establecimientos Financieros de Crédito, C‑468/10 și C‑469/10, EU:C:2011:777, punctul 40). Rezultă că aceste articole 8 și 52 nu trebuie aplicate în speță în mod izolat.
33 Având în vedere cele de mai sus, trebuie să se considere că, prin intermediul întrebărilor formulate, care trebuie analizate împreună, instanța de trimitere solicită în esență să se stabilească dacă articolul 6 alineatul (1) litera (c) și articolul 7 litera (f) din Directiva 95/46, citite în lumina articolelor 7 și 8 din cartă, trebuie interpretate în sensul că se opun unor dispoziții naționale care autorizează instituirea unui sistem de supraveghere video precum sistemul în discuție în litigiul principal, instalat în părțile comune ale unui imobil cu destinație de locuință, în scopul de a urmări interese legitime care constau în asigurarea pazei și a protecției persoanelor și a bunurilor, fără consimțământul persoanelor vizate.
34 Este necesar să se amintească faptul că o supraveghere efectuată printr‑o înregistrare video a unor persoane, stocată pe un dispozitiv de înregistrare în mod continuu, și anume pe un hard disk, constituie, în conformitate cu articolul 3 alineatul (1) din Directiva 95/46, o prelucrare de date cu caracter personal automată (Hotărârea din 11 decembrie 2014, Ryneš, C‑212/13, EU:C:2014:2428, punctul 25).
35 Prin urmare, un sistem de supraveghere video prin intermediul unei camere trebuie să fie calificat drept prelucrare de date cu caracter personal automată, în sensul dispoziției menționate, atunci când dispozitivul instalat permite înregistrarea și stocarea datelor cu caracter personal precum imagini care permit identificarea persoanelor fizice. Revine instanței de trimitere sarcina de a verifica dacă sistemul în discuție în litigiul principal prezintă astfel de caracteristici.
36 În plus, orice prelucrare a datelor cu caracter personal trebuie, pe de o parte, să fie conformă cu principiile referitoare la calitatea datelor, enunțate la articolul 6 din Directiva 95/46, și, pe de altă parte, să respecte unul dintre principiile privind legitimitatea prelucrării datelor enumerate la articolul 7 din această directiva (Hotărârea din 13 mai 2014, Google Spain și Google, C‑131/12, EU:C:2014:317, punctul 71, precum și jurisprudența citată).
37 Articolul 7 din Directiva 95/46 prevede o listă exhaustivă și limitativă de cazuri în care o prelucrare de date cu caracter personal poate fi considerată ca fiind legală. Statele membre nu pot nici să adauge principii noi privind legitimarea prelucrărilor de date cu caracter personal la articolul respectiv, nici să prevadă cerințe suplimentare care să modifice conținutul unuia dintre cele șase principii prevăzute la acest articol (Hotărârea din 19 octombrie 2016, Breyer, C‑582/14, EU:C:2016:779, punctul 57).
38 Rezultă că, pentru a putea fi considerată legitimă, o prelucrare de date cu caracter personal trebuie să se încadreze în unul dintre cele șase cazuri prevăzute la articolul 7 din Directiva 95/46.
39 Întrebările adresate de instanța de trimitere privesc în special principiul referitor la legitimitatea prelucrării datelor prevăzută la articolul 7 litera (f) din Directiva 95/46, dispoziție transpusă în ordinea juridică română prin articolul 5 alineatul (2) litera e) din Legea nr. 677/2001, la care face trimitere și articolul 6 din Decizia nr. 52/2012 a ANSPDCP în ceea ce privește în mod specific prelucrarea datelor cu caracter personal prin recurgerea la mijloace de supraveghere video.
40 În această privință, articolul 7 litera (f) din Directiva 95/46 prevede trei condiții cumulative pentru ca o prelucrare a unor date cu caracter personal să fie licită, și anume, în primul rând, urmărirea unui interes legitim de către operator sau de către terțul sau terții cărora le sunt comunicate datele, în al doilea rând, necesitatea prelucrării datelor cu caracter personal pentru realizarea interesului legitim urmărit și, în al treilea rând, condiția ca acest interes legitim urmărit să nu prejudicieze drepturile și libertățile fundamentale ale persoanei vizate de protecția datelor (Hotărârea din 4 mai 2017, Rīgas satiksme, C‑13/16, EU:C:2017:336, punctul 28).
41 Trebuie subliniat că articolul 7 litera (f) din Directiva 95/46 nu impune existența consimțământului persoanei vizate. Un astfel de consimțământ figurează însă drept condiție pe care trebuie să o îndeplinească prelucrarea datelor cu caracter personal numai la articolul 7 litera (a) din această directivă.
42 În speță, obiectivul pe care îl vizează în esență operatorul datelor atunci când instituie un sistem de supraveghere video precum cel în discuție în litigiul principal, și anume protecția bunurilor, a sănătății și a vieții coproprietarilor unui imobil, poate fi calificat drept „interes legitim”, în sensul articolului 7 litera (f) din Directiva 95/46. Prima condiție stabilită la această dispoziție pare, așadar, în principiu, îndeplinită (a se vedea prin analogie Hotărârea din 11 decembrie 2014, Ryneš, C‑212/13, EU:C:2014:2428, punctul 34).
43 Instanța de trimitere ridică însă problema dacă prima dintre condițiile prevăzute la acest articol 7 litera (f) trebuie interpretată în sensul că interesul pe care îl urmărește operatorul în cauză trebuie, pe de o parte, să fie „dovedit” și, pe de altă parte, să fie „născut și actual la momentul prelucrării”.
44 În această privință, este necesar să se sublinieze că, astfel cum au arătat de asemenea guvernele român și ceh, Irlanda, guvernul austriac, guvernul portughez și Comisia, din moment ce, în conformitate cu articolul 7 litera (f) din Directiva 95/46, operatorul datelor cu caracter personal sau terțul căruia îi sunt comunicate datele trebuie să urmărească un interes legitim care să justifice această prelucrare, acest interes trebuie să fie născut și actual la data prelucrării și să nu prezinte un caracter ipotetic la această dată. Cu toate acestea, nu se poate impune în mod necesar, cu ocazia aprecierii ansamblului împrejurărilor speței, să se fi adus anterior atingere securității bunurilor și a persoanelor.
45 În speță, într‑o situație precum cea în discuție în litigiul principal, condiția referitoare la existența unui interes născut și actual pare a fi în orice caz îndeplinită, din moment ce instanța de trimitere arată că, înainte de instalarea sistemului de supraveghere video, au avut loc furturi, spargeri și acte de vandalism, și aceasta în pofida instalării, la intrarea imobilului, a unui sistem securizat cu interfon și cu card magnetic.
46 În ceea ce privește cea de a doua condiție prevăzută la articolul 7 litera (f) din Directiva 95/46, privind necesitatea recurgerii la prelucrarea datelor cu caracter personal pentru realizarea interesului legitim urmărit, Curtea a amintit că derogările și restricțiile de la principiul protecției datelor cu caracter personal trebuie să fie efectuate în limitele strictului necesar (Hotărârea din 4 mai 2017, Rīgas satiksme, C‑13/16, EU:C:2017:336, punctul 30 și jurisprudența citată).
47 Această condiție impune instanței de trimitere să verifice dacă interesul legitim al prelucrării datelor urmărit prin supravegherea video în discuție în litigiul principal, care constă în esență în asigurarea securității bunurilor și a persoanelor și în prevenirea săvârșirii unor infracțiuni, nu poate fi atins în mod rezonabil la fel de eficient prin alte mijloace care să afecteze mai puțin libertățile și drepturile fundamentale ale persoanelor vizate, în special dreptul la respectarea vieții private și dreptul la protecția datelor cu caracter personal garantate prin articolele 7 și 8 din cartă.
48 În plus, astfel cum a susținut Comisia, condiția privind necesitatea prelucrării trebuie examinată împreună cu principiul „minimizării datelor” consacrat la articolul 6 alineatul (1) litera (c) din Directiva 95/46, potrivit căruia datele cu caracter personal trebuie să fie „adecvate, pertinente și neexcesive în ceea ce privește scopurile pentru care sunt colectate și prelucrate ulterior”.
49 Din dosarul de care dispune Curtea rezultă că cerințele legate de proporționalitatea prelucrării datelor în discuție în litigiul principal par să fi fost luate în considerare. Astfel, este cert că inițial au fost puse în aplicare măsuri alternative, constând într‑un sistem securizat instalat la intrarea imobilului, cu interfon și cu card magnetic, însă acestea s‑au dovedit a fi insuficiente. În plus, dispozitivul de supraveghere video în cauză este limitat numai la părțile comune ale coproprietății și la căile de acces la aceasta.
50 Cu toate acestea, proporționalitatea prelucrării datelor prin intermediul unui dispozitiv de supraveghere video trebuie apreciată ținând seama de modalitățile concrete de instalare și de funcționare a acestui dispozitiv, care trebuie să limiteze atingerile aduse drepturilor și libertăților persoanelor vizate, garantând în același timp eficacitatea sistemului de supraveghere video în cauză.
51 Astfel, după cum a arătat Comisia, condiția referitoare la necesitatea prelucrării implică faptul că operatorul trebuie să examineze, de exemplu, dacă este suficient că supravegherea video nu funcționează decât noaptea sau în afara orelor de muncă normale și să blocheze sau să facă neclare imaginile filmate în zonele în care supravegherea nu este necesară.
52 În sfârșit, în ceea ce privește cea de a treia condiție prevăzută la articolul 7 litera (f) din Directiva 95/46, privind existența drepturilor și a libertăților fundamentale ale persoanei vizate de protecția datelor care ar prevala asupra interesului legitim urmărit de operatorul datelor sau de terții cărora le sunt comunicate datele, este necesar să se amintească, astfel cum s‑a menționat deja la punctul 32 din prezenta hotărâre, că aprecierea acestei condiții impune să se efectueze o ponderare a drepturilor și a intereselor opuse în cauză, în funcție de împrejurările concrete ale cazului respectiv, în cadrul căreia trebuie să se țină seama de importanța drepturilor persoanei vizate care rezultă din articolele 7 și 8 din cartă.
53 În acest context, Curtea a statuat că articolul 7 litera (f) din Directiva 95/46 se opune ca un stat membru să excludă în mod categoric și generalizat posibilitatea ca anumite categorii de date cu caracter personal să fie prelucrate, fără a permite o ponderare a drepturilor și a intereselor opuse în cauză într‑un anumit caz. Un stat membru nu poate astfel să stabilească, pentru aceste categorii, în mod definitiv, rezultatul ponderării drepturilor și intereselor opuse fără a permite un rezultat diferit în funcție de împrejurările speciale ale unui caz concret (Hotărârea din 19 octombrie 2016, Breyer, C‑582/14, EU:C:2016:779, punctul 62).
54 Reiese de asemenea din jurisprudența Curții că este posibil să se ia în considerare, în scopul efectuării acestei ponderări, caracterul variabil, în funcție de posibilitatea de a avea acces la datele în cauză din surse aflate la dispoziția publicului, al gravității atingerii aduse drepturilor fundamentale ale persoanei vizate de prelucrarea menționată (a se vedea în acest sens Hotărârea din 4 mai 2017, Rīgas satiksme, C‑13/16, EU:C:2017:336, punctul 32).
55 Spre deosebire de prelucrările de date care provin din surse aflate la dispoziția publicului, prelucrările de date care provin din surse care nu sunt accesibile publicului implică faptul că informațiile privind viața privată a persoanei în cauză vor fi în prezent cunoscute de operator și, dacă este cazul, de terțul sau de terții cărora le sunt comunicate datele. Această atingere mai gravă a drepturilor persoanei vizate, prevăzute la articolele 7 și 8 din cartă, trebuie să fie luată în considerare și să fie evaluată comparativ cu interesul legitim urmărit de operator sau de terțul ori de terții cărora le sunt comunicate datele (a se vedea în acest sens Hotărârea din 24 noiembrie 2011, Asociación Nacional de Establecimientos Financieros de Crédito, C‑468/10 și C‑469/10, EU:C:2011:777, punctul 45).
56 Criteriul privind gravitatea atingerii aduse drepturilor și libertăților persoanei vizate constituie un element esențial în exercițiul de ponderare sau de evaluare comparativă de la caz la caz, impus de articolul 7 litera (f) din Directiva 95/46.
57 În acest sens, trebuie să se țină seama, printre altele, de natura datelor cu caracter personal în cauză, în special de natura eventual sensibilă a acestor date, precum și de natura și de modalitățile concrete de prelucrare a datelor în cauză, în special de numărul de persoane care au acces la aceste date și de modalitățile de acces la acestea din urmă.
58 Sunt de asemenea pertinente în scopul acestei ponderări așteptările rezonabile ale persoanei vizate ca datele sale cu caracter personal să nu fie prelucrate atunci când, în împrejurările din speță, persoana respectivă nu se poate aștepta în mod rezonabil la o prelucrare ulterioară a acestora.
59 În sfârșit, aceste elemente trebuie să fie evaluate comparativ cu importanța, pentru ansamblul coproprietarilor imobilului în cauză, a interesului legitim urmărit în speță prin sistemul de supraveghere video în discuție, în măsura în care acesta vizează în esență să asigure protecția bunurilor, a sănătății și a vieții coproprietarilor respectivi.
60 Având în vedere cele de mai sus, trebuie să se răspundă la întrebările adresate că articolul 6 alineatul (1) litera (c) și articolul 7 litera (f) din Directiva 95/46, citite în lumina articolelor 7 și 8 din cartă, trebuie interpretate în sensul că nu se opun unor dispoziții naționale care autorizează instituirea unui sistem de supraveghere video precum sistemul în discuție în litigiul principal instalat în părțile comune ale unui imobil cu destinație de locuință, în scopul de a urmări interese legitime care constau în asigurarea pazei și a protecției persoanelor și a bunurilor, fără consimțământul persoanelor vizate, dacă prelucrarea datelor cu caracter personal efectuată prin intermediul sistemului de supraveghere video în cauză îndeplinește condițiile prevăzute la articolul 7 litera (f) menționat, aspect a cărui verificare revine instanței de trimitere.
Cu privire la cheltuielile de judecată
61 Întrucât, în privința părților din litigiul principal, procedura are caracterul unui incident survenit la instanța de trimitere, este de competența acesteia să se pronunțe cu privire la cheltuielile de judecată. Cheltuielile efectuate pentru a prezenta observații Curții, altele decât cele ale părților menționate, nu pot face obiectul unei rambursări.
Pentru aceste motive, Curtea (Camera a treia) declară:
Articolul 6 alineatul (1) litera (c) și articolul 7 litera (f) din Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date, citite în lumina articolelor 7 și 8 din Carta drepturilor fundamentale a Uniunii Europene, trebuie interpretate în sensul că nu se opun unor dispoziții naționale care autorizează instituirea unui sistem de supraveghere video precum sistemul în discuție în litigiul principal instalat în părțile comune ale unui imobil cu destinație de locuință, în scopul de a urmări interese legitime care constau în asigurarea pazei și a protecției persoanelor și a bunurilor, fără consimțământul persoanelor vizate, dacă prelucrarea datelor cu caracter personal efectuată prin intermediul sistemului de supraveghere video în cauză îndeplinește condițiile prevăzute la articolul 7 litera (f) menționat, aspect a cărui verificare revine instanței de trimitere.
Semnături