ACÓRDÃO DO TRIBUNAL DE JUSTIÇA (Quarta Secção)
11 de dezembro de 2014 (*)
«Reenvio prejudicial — Diretiva 95/46/CE — Proteção das pessoas singulares — Tratamento de dados pessoais — Conceito de ‘exercício de atividades exclusivamente pessoais ou domésticas’»
No processo C‑212/13,
que tem por objeto um pedido de decisão prejudicial apresentado, nos termos do artigo 267.° TFUE, pelo Nejvyšší správní soud (República Checa), por decisão de 20 de março de 2013, que deu entrada no Tribunal de Justiça em 19 de abril de 2013, no processo
František Ryneš
contra
Úřad pro ochranu osobních údajů,
O TRIBUNAL DE JUSTIÇA (Quarta Secção),
composto por: L. Bay Larsen, presidente de secção, K. Jürimäe, J. Malenovský, M. Safjan (relator) e A. Prechal, juízes,
advogado‑geral: N. Jääskinen,
secretário: I. Illéssy, administrador,
vistos os autos e após a audiência de 20 de março de 2014,
vistas as observações apresentadas:
— em representação de F. Ryneš, por M. Šalomoun, advokát,
— em representação da Úřad pro ochranu osobních údajů, por I. Němec, advokát, e J. Prokeš,
— em representação do Governo checo, por M. Smolek e J. Vláčil, na qualidade de agentes,
— em representação do Governo espanhol, por A. Rubio González, na qualidade de agente,
— em representação do Governo italiano, por G. Palmieri, na qualidade de agente, assistida por P. Gentili, avvocato dello Stato,
— em representação do Governo austríaco, por A. Posch e G. Kunnert, na qualidade de agentes,
— em representação do Governo polaco, por B. Majczyna, J. Fałdyga e M. Kamejsza, na qualidade de agentes,
— em representação do Governo português, por L. Inez Fernandes e C. Vieira Guerra, na qualidade de agentes,
— em representação do Governo do Reino Unido, por L. Christie, na qualidade de agente, assistido por J. Holmes, barrister,
— em representação da Comissão Europeia, por B. Martenczuk, P. Němečková e Z. Malůšková, na qualidade de agentes,
ouvidas as conclusões do advogado‑geral na audiência de 10 de julho de 2014,
profere o presente
Acórdão
1 O pedido de decisão prejudicial tem por objeto a interpretação do artigo 3.°, n.° 2, da Diretiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (JO L 281, p. 31).
2 Este pedido foi apresentado no âmbito de um litígio que opõe F. Ryneš à Úřad pro ochranu osobních údajů (Comissão de Proteção de Dados Pessoais, a seguir «Úřad»), a respeito da decisão pela qual esta declarou que F. Ryneš tinha cometido diversas infrações no domínio da proteção de dados pessoais.
Quadro jurídico
Direito da União
3 Os considerandos 10, 12 e 14 a 16 da Diretiva 95/46 enunciam:
«(10) [...] o objetivo das legislações nacionais relativas ao tratamento de dados pessoais é assegurar o respeito dos direitos e liberdades fundamentais, nomeadamente do direito à vida privada, reconhecido não só no artigo 8.° da Convenção europeia para a proteção dos direitos do Homem e das liberdades fundamentais como nos princípios gerais do direito comunitário; [...] por este motivo, a aproximação das referidas legislações não deve fazer diminuir a proteção que asseguram, devendo, pelo contrário, ter por objetivo garantir um elevado nível de proteção na Comunidade;
[...]
(12) [...] que se deve excluir o tratamento de dados efetuado por uma pessoa singular no exercício de atividades exclusivamente pessoais ou domésticas, por exemplo correspondência ou listas de endereços;
[...]
(14) [...] tendo em conta a importância do desenvolvimento que, no âmbito da sociedade de informação, sofrem atualmente as técnicas de captação, transmissão, manipulação, gravação, conservação ou comunicação de dados de som e de imagem relativos às pessoas singulares, há que aplicar a presente diretiva ao tratamento desses dados;
(15) [...] o tratamento desses dados só é abrangido pela presente diretiva se for automatizado ou se os dados tratados estiverem contidos ou se destinarem a ficheiros estruturados segundo critérios específicos relativos às pessoas, a fim de permitir um acesso fácil aos dados pessoais em causa;
(16) [...] o tratamento de dados de som e de imagem, tais como os de vigilância por vídeo, não é abrangido pelo âmbito de aplicação da presente diretiva se for executado para fins de segurança pública, de defesa, de segurança do Estado ou no exercício de atividades do Estado relativas a domínios de direito penal ou no exercício de outras atividades não abrangidas pelo âmbito de aplicação do direito comunitário.»
4 Nos termos do artigo 2.° desta diretiva:
«Para efeitos da presente diretiva, entende‑se por:
a) ‘Dados pessoais’, qualquer informação relativa a uma pessoa singular identificada ou identificável (‘pessoa em causa’); é considerado identificável todo aquele que possa ser identificado, direta ou indiretamente, nomeadamente por referência [...] a um ou mais elementos específicos da sua identidade física [...];
b) ‘Tratamento de dados pessoais’ (‘tratamento’), qualquer operação ou conjunto de operações que envolva dados pessoais, efetuada ou não por meios automáticos, como recolha, registo, organização, armazenamento, adaptação ou alteração, pesquisa, consulta, utilização, divulgação por transmissão, difusão ou qualquer outra forma de disponibilização, alinhamento ou combinação, bloqueio, apagamento ou destruição;
c) ‘Ficheiro de dados pessoais’ (‘ficheiro’), qualquer conjunto estruturado de dados pessoais, acessível segundo critérios determinados, que seja centralizado, descentralizado ou repartido de modo funcional ou geográfico;
d) ‘Responsável pelo tratamento’, a pessoa singular [...] que, individualmente ou em conjunto com outrem, determine as finalidades e os meios de tratamento dos dados pessoais [...]»
5 O artigo 3.° da referida diretiva dispõe:
«1. A presente diretiva aplica‑se ao tratamento de dados pessoais por meios total ou parcialmente automatizados, bem como ao tratamento por meios não automatizados de dados pessoais contidos num ficheiro ou a ele destinados.
2. A presente diretiva não se aplica ao tratamento de dados pessoais:
— efetuado no exercício de atividades não sujeitas à aplicação do direito comunitário, tais como as previstas nos títulos V e VI do Tratado da União Europeia, e, em qualquer caso, ao tratamento de dados que tenha como objeto a segurança pública, a defesa, a segurança do Estado (incluindo o bem‑estar económico do Estado quando esse tratamento disser respeito a questões de segurança do Estado), e as atividades do Estado no domínio do direito penal,
— efetuado por uma pessoa singular no exercício de atividades exclusivamente pessoais ou domésticas.»
6 O artigo 7.° da mesma diretiva tem a seguinte redação:
«Os Estados‑Membros estabelecerão que o tratamento de dados pessoais só poderá ser efetuado se:
a) A pessoa em causa tiver dado de forma inequívoca o seu consentimento;
ou
[...]
f) O tratamento for necessário para prosseguir interesses legítimos do responsável pelo tratamento ou do terceiro ou terceiros a quem os dados sejam comunicados, desde que não prevaleçam os interesses ou os direitos e liberdades fundamentais da pessoa em causa, protegidos ao abrigo do n.° 1 do artigo 1.°»
7 O artigo 11.° da Diretiva 95/46 prevê:
«1. Se os dados não tiverem sido recolhidos junto da pessoa em causa, os Estados‑Membros estabelecerão que o responsável pelo tratamento [...] deve fornecer à pessoa em causa, no momento em que os dados forem registados [...], pelo menos as seguintes informações, salvo se a referida pessoa já delas tiver conhecimento:
a) Identidade do responsável pelo tratamento [...];
b) Finalidades do tratamento;
c) Outras informações, tais como:
— as categorias de dados envolvidos,
— os destinatários ou categorias de destinatários dos dados,
— a existência do direito de acesso aos dados que lhe digam respeito e do direito de os retificar,
desde que sejam necessárias, tendo em conta as circunstâncias específicas da recolha dos dados, para garantir à pessoa em causa um tratamento leal dos mesmos.
2. O n.° 1 não se aplica quando, nomeadamente no caso do tratamento de dados com finalidades estatísticas, históricas ou de investigação científica, a informação da pessoa em causa se revelar impossível ou implicar esforços desproporcionados ou quando a lei dispuser expressamente o registo dos dados ou a sua divulgação. Nestes casos, os Estados‑Membros estabelecerão as garantias adequadas.»
8 O artigo 13.°, n.° 1, dessa diretiva dispõe:
«Os Estados‑Membros podem tomar medidas legislativas destinadas a restringir o alcance das obrigações e direitos referidos [...] no n.° 1 do artigo 11.° [...], sempre que tal restrição constitua uma medida necessária à proteção:
[...]
d) Da prevenção, investigação, deteção e repressão de infrações penais e de violações da deontologia das profissões regulamentadas;
[...]
g) [...] dos direitos e liberdades de outrem.»
9 Nos termos do artigo 18.°, n.° 1, da referida diretiva:
«Os Estados‑Membros estabelecerão que o responsável pelo tratamento [...] deve notificar a autoridade de controlo [...] antes da realização de um tratamento ou conjunto de tratamentos, total ou parcialmente automatizados, destinados à prossecução de uma ou mais finalidades interligadas.»
Direito checo
10 O artigo 3.°, n.° 3, da Lei n.° 101/2000 Sb., relativa à proteção de dados pessoais e à alteração de várias leis (a seguir «Lei n.° 101/2000»), prevê:
«A presente lei não se aplica ao tratamento de dados pessoais efetuado por uma pessoa singular exclusivamente para uso pessoal.»
11 O artigo 44.°, n.° 2, desta lei regula a responsabilidade do autor do tratamento dos dados pessoais, que comete uma infração quando trata dados pessoais sem o consentimento da pessoa em causa, não presta à pessoa em causa as informações relevantes e não cumpre a obrigação de notificação à autoridade competente.
12 Nos termos do artigo 5.°, n.° 2, da referida lei, o tratamento de dados pessoais só é possível, em princípio, com o consentimento da pessoa em causa. Na falta desse consentimento, o referido tratamento de dados pode ter lugar quando seja necessário à proteção dos direitos e dos interesses legalmente protegidos do responsável pelo respetivo tratamento, do destinatário ou de qualquer outra pessoa em causa. Contudo, esse tratamento de dados pessoais não deve lesar o direito da pessoa em causa ao respeito da sua vida privada e pessoal.
Litígio no processo principal e questão prejudicial
13 No período compreendido entre 5 de outubro de 2007 e 11 de abril de 2008, F. Ryneš utilizou um sistema de câmara de filmar que instalou por baixo do beiral do telhado da casa da sua família. Essa câmara era fixa, sem possibilidade de rotação, e filmava a entrada dessa casa, a via pública e a entrada da casa situada em frente. O sistema só permitia uma gravação vídeo, que era guardada num dispositivo de gravação contínua, a saber, o disco rígido. Uma vez atingida a sua capacidade máxima, este dispositivo gravava por cima da gravação existente, que era apagada. O dispositivo de gravação não tinha monitor, pelo que não era possível visualizar as imagens em tempo real. Só F. Ryneš tinha acesso direto ao sistema e aos dados.
14 O órgão jurisdicional de reenvio salienta que a única razão por que F. Ryneš explorava aquela câmara era a proteção dos seus bens, da sua saúde e da sua vida, bem como da sua família. Com efeito, tanto ele como a sua família tinham sido alvo de ataques, durante vários anos, por parte de um desconhecido que não pôde ser identificado. Além disso, as janelas da casa da sua família foram quebradas várias vezes, entre 2005 e 2007.
15 Na noite de 6 para 7 de outubro de 2007, houve um novo ataque. Uma janela da casa em questão foi quebrada por um projétil lançado por uma fisga. Graças ao sistema de videovigilância em questão, foi possível identificar dois suspeitos. As gravações foram entregues à polícia e, em seguida, invocadas como meio de prova no processo penal que foi instaurado.
16 Um dos suspeitos pediu a verificação da legalidade do sistema de vigilância de F. Ryneš, e a Úřad, por decisão de 4 de agosto de 2008, declarou que F. Ryneš tinha cometido infrações nos termos da Lei n.° 101/2000, porquanto:
— enquanto responsável pelo tratamento, recolheu dados pessoais através do sistema de câmara, sem o consentimento das pessoas que passavam na rua ou que entravam na casa situada no outro lado da rua,
— as pessoas em causa não foram informadas do tratamento desses dados pessoais, do alcance e dos objetivos desse tratamento, da pessoa que o efetuava e da forma como era efetuado, nem das pessoas que podiam ter acesso aos dados em questão, e
— enquanto responsável pelo tratamento, F. Ryneš não cumpriu o requisito de notificação desse tratamento à Úřad.
17 Chamado a pronunciar‑se sobre o recurso que F. Ryneš interpôs desta decisão, o Městský soud v Praze (Tribunal da Comarca de Praga) negou‑lhe provimento por acórdão de 25 de abril de 2012. F. Ryneš interpôs recurso de cassação desse acórdão para o órgão jurisdicional de reenvio.
18 Nestas condições, o Nejvyšší správní soud (Supremo Tribunal Administrativo) decidiu suspender a instância e submeter ao Tribunal de Justiça a seguinte questão prejudicial:
«A exploração de um sistema de câmara instalado numa casa familiar para proteger os bens, a saúde e a vida dos proprietários dessa casa pode ser qualificada de tratamento de dados pessoais ‘efetuado por uma pessoa singular no exercício de atividades exclusivamente pessoais ou domésticas’ na aceção do artigo 3.°, n.° 2, da Diretiva 95/46[...], ainda que esse sistema vigie igualmente o espaço público?»
Quanto à questão prejudicial
19 Com a sua questão, o órgão jurisdicional de reenvio pergunta, em substância, se o artigo 3.°, n.° 2, segundo travessão, da Diretiva 95/46 deve ser interpretado no sentido de que a exploração de um sistema de câmara que dá lugar a uma gravação vídeo de pessoas, guardada num dispositivo de gravação contínua como um disco rígido, sistema esse instalado por uma pessoa singular na sua casa de família para proteger os bens, a saúde e a vida dos proprietários dessa casa e que vigia igualmente o espaço público, constitui um tratamento de dados efetuado no exercício de atividades exclusivamente pessoais ou domésticas, na aceção desta disposição.
20 Importa recordar que esta diretiva, nos termos do seu artigo 3.°, n.° 1, se aplica «ao tratamento de dados pessoais por meios total ou parcialmente automatizados, bem como ao tratamento por meios não automatizados de dados pessoais contidos num ficheiro ou a ele destinados».
21 O conceito de «dados pessoais» contido nesta disposição engloba, nos termos da definição prevista no artigo 2.°, alínea a), da Diretiva 95/46, «qualquer informação relativa a uma pessoa singular identificada ou identificável». É considerado identificável «todo aquele que possa ser identificado, direta ou indiretamente, nomeadamente por referência [...] a um ou mais elementos específicos da sua identidade física».
22 Consequentemente, a imagem de uma pessoa gravada por uma câmara constitui um dado pessoal, na aceção da disposição referida no número anterior, na medida em que permite identificar a pessoa em causa.
23 No que respeita ao conceito de «tratamento de dados pessoais», importa salientar que este se encontra definido no artigo 2.°, alínea b), da Diretiva 95/46 como «qualquer operação ou conjunto de operações que envolva dados pessoais [...] como recolha, registo, [...] armazenamento».
24 Como resulta dos considerandos 15 e 16 da Diretiva 95/46, a videovigilância está, em princípio, abrangida pelo campo de aplicação desta diretiva, na medida em que pode ser qualificada de tratamento automatizado.
25 Ora, uma vigilância efetuada por meio de uma gravação vídeo de pessoas, como acontece no processo principal, guardada num dispositivo de gravação em circuito contínuo, a saber, o disco rígido, constitui, nos termos do artigo 3.°, n.° 1, da Diretiva 95/46, um tratamento de dados pessoais automatizado.
26 O órgão jurisdicional de reenvio levanta a questão de saber se, apesar disso, esse tratamento, numa situação como a que está em causa no processo principal, não se subtrai à aplicação da Diretiva 95/46, na medida em que é efetuado «no exercício de atividades exclusivamente pessoais ou domésticas», na aceção do artigo 3.°, n.° 2, segundo travessão, da referida diretiva.
27 Como resulta do artigo 1.° e do considerando 10 da Diretiva 95/46, esta visa garantir um nível elevado de proteção das liberdades e dos direitos fundamentais das pessoas singulares, nomeadamente, da sua vida privada, no que diz respeito ao tratamento de dados pessoais (v. acórdão Google Spain e Google, C‑131/12, EU:C:2014:317, n.° 66).
28 A este respeito, importa salientar que, segundo jurisprudência constante, a proteção do direito fundamental ao respeito da vida privada, consagrado no artigo 7.° da Carta dos Direitos Fundamentais da União Europeia, exige que as derrogações à proteção dos dados pessoais e as respetivas limitações devem ocorrer na estrita medida do necessário (v. acórdãos IPI, C‑473/12, EU:C:2013:715, n.° 39, e Digital Rights Ireland e o., C‑293/12 e C‑594/12, EU:C:2014:238, n.° 52).
29 Uma vez que as disposições da Diretiva 95/46, na medida em que regulam o tratamento de dados pessoais suscetíveis de pôr em causa as liberdades fundamentais e, em especial, o direito à vida privada, devem, necessariamente, ser interpretadas à luz dos direitos fundamentais que estão consagrados na referida Carta (v. acórdão Google Spain e Google, EU:C:2014:317, n.° 68), a derrogação prevista no artigo 3.°, n.° 2, segundo travessão, desta diretiva deve ser objeto de interpretação estrita.
30 Esta interpretação estrita também encontra fundamento na própria letra desta disposição, que exclui da aplicação da Diretiva 95/46 o tratamento de dados efetuado no exercício de atividades não meramente pessoais ou domésticas, mas sim «exclusivamente» pessoais ou domésticas.
31 Face ao exposto, há que constatar que, como referiu o advogado‑geral no n.° 53 das suas conclusões, um tratamento de dados pessoais apenas está abrangido pela exceção prevista no artigo 3.°, n.° 2, segundo travessão, da Diretiva 95/46 quando seja efetuado na esfera exclusivamente pessoal ou doméstica da pessoa que procede a esse tratamento.
32 Assim, no que se refere às pessoas singulares, a correspondência e a gestão de listas de endereços constituem, à luz do considerando 12 da Diretiva 95/46, «atividades exclusivamente pessoais ou domésticas», ainda que, a título incidental, digam respeito ou possam dizer respeito à vida privada de terceiros.
33 Uma videovigilância como a que está em causa no processo principal, na medida em que se estende, ainda que parcialmente, ao espaço público e, por esse motivo, se dirige para fora da esfera privada da pessoa que procede ao tratamento de dados por esse meio, não pode ser considerada uma atividade exclusivamente «pessoal ou doméstica», na aceção do artigo 3.°, n.° 2, segundo travessão, da Diretiva 95/46.
34 Simultaneamente, a aplicação das disposições desta diretiva permite atender, se for caso disso, nos termos dos artigos 7.°, alínea f), 11.°, n.° 2, e 13.°, n.° 1, alíneas d) e g), da referida diretiva, aos legítimos interesses do responsável pelo tratamento, que consistem, designadamente, como acontece no processo principal, na proteção dos bens, da saúde e da vida desse responsável e da sua família.
35 Por conseguinte, há que responder à questão submetida que o artigo 3.°, n.° 2, segundo travessão, da Diretiva 95/46 deve ser interpretado no sentido de que a exploração de um sistema de câmara que dá lugar a uma gravação vídeo de pessoas, guardada num dispositivo de gravação contínua, como um disco rígido, sistema esse instalado por uma pessoa singular na sua casa de família, para proteger os bens, a saúde e a vida dos proprietários dessa casa, e que vigia igualmente o espaço público, não constitui um tratamento de dados efetuado no exercício de atividades exclusivamente pessoais ou domésticas, na aceção desta disposição.
Quanto às despesas
36 Revestindo o processo, quanto às partes na causa principal, a natureza de incidente suscitado perante o órgão jurisdicional de reenvio, compete a este decidir quanto às despesas. As despesas efetuadas pelas outras partes para a apresentação de observações ao Tribunal de Justiça não são reembolsáveis.
Pelos fundamentos expostos, o Tribunal de Justiça (Quarta Secção) declara:
O artigo 3.°, n.° 2, segundo travessão, da Diretiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados, deve ser interpretado no sentido de que a exploração de um sistema de câmara que dá lugar a uma gravação vídeo de pessoas, guardada num dispositivo de gravação contínua, como um disco rígido, sistema esse instalado por uma pessoa singular na sua casa de família, para proteger os bens, a saúde e a vida dos proprietários dessa casa, e que vigia igualmente o espaço público, não constitui um tratamento de dados efetuado no exercício de atividades exclusivamente pessoais ou domésticas, na aceção desta disposição.
Assinaturas