PRESUDA SUDA (četvrto vijeće)
11. prosinca 2014.(*)
„Zahtjev za prethodnu odluku – Direktiva 95/46/EZ – Zaštita fizičkih osoba – Obrada osobnih podataka – Pojam obavljanja ,isključivo osobnih ili domaćih aktivnostiʼ“
U predmetu C‑212/13,
povodom zahtjeva za prethodnu odluku na temelju članka 267. UFEU‑a, koji je uputio Nejvyšší správní soud (Češka Republika), odlukom od 20. ožujka 2013., koju je Sud zaprimio 19. travnja 2013., u postupku
František Ryneš
protiv
Úřad pro ochranu osobních údajů,
SUD (četvrto vijeće),
u sastavu: L. Bay Larsen, predsjednik vijeća, K. Jürimäe, J. Malenovský, M. Safjan (izvjestitelj) i A. Prechal, suci,
nezavisni odvjetnik: N. Jääskinen,
tajnik: I. Illéssy, administrator,
uzimajući u obzir pisani postupak i nakon rasprave održane 20. ožujka 2014.,
uzimajući u obzir očitovanja koja su podnijeli:
– za F. Ryneša, M. Šalomoun, advokát,
– za Úřad pro ochranu osobních údajů, I. Němec, advokát i J. Prokeš,
– za češku vladu, M. Smolek i J. Vláčil, u svojstvu agenata,
– za španjolsku vladu, A. Rubio González, u svojstvu agenta,
– za talijansku vladu, G. Palmieri, u svojstvu agenta, uz asistenciju P. Gentilija, avvocato dello Stato,
– za austrijsku vladu, A. Posch i G. Kunnert, u svojstvu agenata,
– za poljsku vladu, B. Majczyna, J. Fałdyga i M. Kamejsza, u svojstvu agenata,
– za portugalsku vladu, L. Inez Fernandes i C. Vieira Guerra, u svojstvu agenata,
– za vladu Ujedinjene Kraljevine, L. Christie, u svojstvu agenta, uz asistenciju J. Holmesa, barrister,
– za Europsku komisiju, B. Martenczuk, P. Němečková i Z. Malůšková, u svojstvu agenata,
saslušavši mišljenje nezavisnog odvjetnika na raspravi održanoj 10. srpnja 2014.,
donosi sljedeću
Presudu
1 Zahtjev za prethodnu odluku odnosi se na tumačenje članka 3. stavka 2. Direktive 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka (SL L 281, str. 31.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 7., str. 88.).
2 Zahtjev je upućen u okviru spora između F. Ryneša i Úřad pro ochranu osobních údajů (Ured za zaštitu osobnih podataka, u daljnjem tekstu: Úřad) zbog odluke kojom je to tijelo utvrdilo da je F. Ryneš počinio više povreda koje se odnose na zaštitu osobnih podataka.
Pravni okvir
Pravo Unije
3 Uvodne izjave 10., 12. i 14. do 16. Direktive 95/46 navode:
„(10) […] budući da je cilj nacionalnog zakonodavstva u vezi obrade osobnih podataka zaštiti temeljna prava i slobode, posebno pravo na privatnost koje je priznato u članku 8. Europske konvencije za zaštitu ljudskih prava i temeljnih sloboda te u općim načelima prava Zajednice; budući da iz tog razloga usklađivanje tih zakona ne smije dovesti do bilo kakvog smanjenja zaštite koju pružaju, nego naprotiv moraju težiti tome da osiguraju visoku razinu zaštite u Zajednici;
[...]
(12) budući da je potrebno isključiti obradu podataka koju provodi fizička osoba izvršavanjem aktivnosti koje su isključivo osobne ili domaće naravi, kao što je dopisivanje i vođenje evidencije adresata;
[...]
(14) […] budući da se s obzirom na važnost aktualnog razvitka u okviru informacijskog društva, tehnika za prikupljanje, prijenos, rukovanje, snimanje, pohranjivanje ili komuniciranje zvučnih ili slikovnih podataka koji se odnose na fizičke osobe, ova Direktiva mora primijeniti na obradu koja uključuje takve podatke;
(15) […] budući da je obrada takvih podataka obuhvaćena ovom Direktivom jedino ako je automatizirana ili ako su obrađeni podaci sadržani ili će biti sadržani u sustavu arhiviranja strukturiranom u skladu s posebnim mjerilima u vezi s pojedincima kako bi se omogućio lagani pristup tim osobnim podacima;
(16) […] budući da obrada zvučnih i slikovnih podataka, kao u slučajevima video nadzora, nije u području primjene ove Direktive ako se provodi u svrhe javne sigurnosti, obrane, nacionalne sigurnosti ili tijekom državnih aktivnosti koje se odnose na kazneno pravo ili druge aktivnosti koje nisu u području primjene prava Zajednice“.
4 Prema članku 2. ove direktive:
„Za potrebe ove Direktive primjenjuju se sljedeće definicije:
a) ,Osobni podaciʼ znači bilo koji podaci koji se odnose na utvrđenu fizičku osobu ili fizičku osobu koju se može utvrditi (,osoba čiji se podaci obrađujuʼ); osoba koja se može utvrditi je osoba čiji je identitet moguće utvrditi, izravno ili neizravno, a posebno navođenjem [...] jednog ili više činitelja značajnih za njegov fizički […] identitet [...];
b) ,obrada osobnih podatakaʼ (,obradaʼ) znači bilo koji postupak ili skup postupaka koji se provode nad osobnim podacima, bilo automatskim putem ili ne, kao što je prikupljanje, snimanje, organiziranje, pohrana, prilagođavanje ili mijenjanje, vraćanje, obavljanje uvida, uporaba, otkrivanje prijenosom i širenjem ili stavljanje na raspolaganje drugim načinom, poravnavanje ili kombiniranje, blokiranje, brisanje ili uništavanje;
c) ,sustav arhiviranja osobnih podatakaʼ (,sustav arhiviranjaʼ) znači bilo koji strukturirani skup osobnih podataka koji je dostupan prema posebnim mjerilima, bilo da su centralizirani, decentralizirani ili raspršeni na funkcionalnoj ili zemljopisnoj osnovi;
d) ,nadzornikʼ znači fizička [...] osoba […] koj[a] sam[a] ili zajedno s drugima utvrđuje svrhu i načine obrade osobnih podataka [...]“
5 Članak 3. navedene direktive propisuje:
„1. Ova Direktiva se primjenjuje na osobne podatke koji se u cijelosti ili djelomično obrađuju automatskim putem i na obradu podataka koja nije automatska, a koja čini dio sustava arhiviranja ili će činiti dio sustava arhiviranja.
2. Ova se Direktiva ne primjenjuje na obradu osobnih podataka:
– tijekom aktivnosti koja je izvan područja primjene prava Zajednice, kao što je predviđeno u glavama V. i VI. Ugovora o Europskoj uniji i u svakom slučaju na postupke obrade koji se odnose na javnu sigurnost, obranu, nacionalnu sigurnost (uključujući gospodarsku dobrobit države kada se operacija obrade odnosi na pitanja nacionalne sigurnosti) i aktivnosti države u području kaznenog prava,
– koju provodi fizička osoba tijekom aktivnosti isključivo osobne ili domaće naravi.“
6 Članak 7. ove direktive glasi kako slijedi:
„Države članice osiguravaju da se osobni podaci mogu obrađivati jedino ako:
a) je osoba čiji se podaci obrađuju nedvosmisleno dala svoju suglasnost
ili
[...]
f) je obrada potrebna u svrhe zakonitog interesa kojeg ima nadzornik ili treća stranka ili stranke kojima se podaci otkrivaju, osim kada su ti podaci podređeni interesu za temeljna prava i slobode osobe čiji se podaci obrađuju koja zahtijeva zaštitu na temelju članka 1. stavka 1. ove Direktive.“
7 Članak 11. Direktive 95/46 propisuje:
„1. Kada podaci nisu dobiveni od osobe čiji se podaci obrađuju, države članice propisuju da nadzornik [...] u trenutku bilježenja osobnih podataka [...], mora[ju] dati osobi čiji se podaci obrađuju barem sljedeće podatke, osim u slučaju da ih već ima:
a) identitet nadzornika [...];
b) svrhu postupka obrade;
c) sve dodatne informacije, kao što su:
– vrste podataka,
– primatelji ili vrste primatelja podataka,
– postojanje prava na pristup podacima i pravo na ispravljanje podataka koji se na nju odnose,
pod uvjetom da su takve dodatne informacije potrebne kako bi se zajamčila ispravna obrada podataka s obzirom na subjekt podataka, uzimajući u obzir posebne okolnosti u kojima se podaci prikupljaju.
2. Stavak 1. ovog članka ne primjenjuje se, prije svega za obradu u statističke svrhe ili u svrhe povijesnog ili znanstvenog istraživanja, kada je davanje takvih podataka nemoguće ili ako bi uključivalo nerazmjerni napor ili ako je bilježenje ili otkrivanje izričito propisano zakonom. U tim slučajevima države članice propisuju odgovarajuću zaštitu.“
8 Članak 13. stavak 1. te direktive propisuje:
„Države članice mogu donijeti propise za ograničavanje područja primjene obveza i prava iz […] članka 11. stavka 1. [...], kada takvo ograničavanje predstavlja potrebne mjere za zaštitu:
[...]
d) sprečavanja, istrage, otkrivanja i progona kaznenih djela ili kršenja etike zakonom uređenih djelatnosti;
[...]
g) zaštite [...] prava i slobode drugih.“
9 Sukladno članku 18. stavku 1. iste direktive:
„Države članice osiguravaju da nadzornik [...] mora[ju] obavijestiti nadzorno tijelo [...] prije izvršavanja potpune ili djelomične automatske obrade ili skupa takvih operacija s namjerom da služi jednoj svrsi ili nekoliko povezanih svrha.“
Češko pravo
10 Članak 3. stavak 3. Zakona br. 101/2000 Sb., koji se odnosi na zaštitu osobnih podataka i izmjenu određenih zakona (u daljnjem tekstu: Zakon br. 101/2000), propisuje:
„Ovaj zakon ne primjenjuje se na obradu osobnih podataka koju provodi fizička osoba tijekom aktivnosti isključivo osobne naravi.“
11 Članak 44. stavak 2. toga zakona uređuje odgovornost osobe zadužene za obradu osobnih podataka koja počini povredu kada obrađuje te podatke bez suglasnosti zainteresirane osobe, kada ne dostavlja zainteresiranoj osobi relevantne informacije i kada ne udovoljava obvezi obavještavanja nadležnog tijela.
12 Sukladno članku 5. stavku 2. navedenog zakona, obrada osobnih podataka u načelu nije moguća bez suglasnosti zainteresirane osobe. U izostanku te suglasnosti navedena obrada može se provesti ako je to nužno radi zaštite zakonskih prava i interesa nadzornika, adresata ili drugih zainteresiranih osoba. Međutim, ta obrada ne bi smjela negativno utjecati na prava zainteresiranih osoba u smislu poštovanja njihovog privatnog i osobnog života.
Glavni postupak i prethodno pitanje
13 Tijekom razdoblja od 5. listopada 2007. do 11. travnja 2008. F. Ryneš instalirao je i koristio sustav nadzornih kamera smješten ispod krovnog vijenca njegove obiteljske kuće. Kamera je bila nepokretna, bez mogućnosti okretanja, te je snimala ulaz u tu kuću, javni put i kuću nasuprot. Sustav je omogućavao samo snimanje videozapisa, koji se pohranjivao na uređaj za kontinuirano snimanje, odnosno tvrdi disk. Kada bi se popunila memorija, uređaj bi brisao postojeće snimke i preko njih snimao nove. Navedeni uređaj za snimanje nije sadržavao zaslon, tako da nije bilo moguće gledati snimljeno u realnom vremenu. Samo je F. Ryneš imao neposredan pristup sustavu i podacima.
14 Sud koji je uputio zahtjev navodi da je F. Rynešu jedini razlog za korištenje te kamere bila zaštita imovine te života i zdravlja, kako vlastitog tako i svoje obitelji. Naime, i on sam i njegova obitelj bili su predmet napada nepoznatih osoba koje nije bilo moguće razotkriti. Osim toga, na njegovoj obiteljskoj kući su između 2005. i 2007. prozori bili razbijani više puta.
15 Tijekom noći sa 6. na 7. listopada 2007. došlo je do još jednog napada. Prozor na dotičnoj kući razbijen je projektilom ispaljenim iz praćke. Zahvaljujući dotičnom sustavu videonadzora moglo se identificirati dva osumnjičenika. Snimke su predane policiji te su slijedom toga korištene u kaznenom postupku koji je bio pokrenut.
16 Nakon što je jedan od osumnjičenih zatražio provjeru zakonitosti nadzornog sustava F. Ryneša, Úřad je odlukom od 4. kolovoza 2008. utvrdio da je on počinio povredu Zakona br. 101/2000 zbog toga što:
– je kao nadzornik prikupio, pomoću sustava kamera, osobne podatke bez suglasnosti osoba koje su se kretale ulicom ili ulazile u kuću koja se nalazi s druge strane ulice;
– zainteresirane osobe nisu bile obaviještene o obradi osobnih podataka, opsegu i ciljevima te obrade, osobi koja provodi obradu i načinu na koji se ta obrada provodi, a ni o osobama koje će imati pristup odnosnim podacima i
– kao nadzornik, F. Ryneš nije izvršio obvezu obavještavanja Úřada o odnosnoj obradi podataka.
17 Tužbu koju je F. Ryneš podnio protiv te odluke Městský soud v Praze (Općinski sud u Pragu) odbio je presudom od 25. travnja 2012. F. Ryneš podnio je kasacijsku žalbu protiv te presude sudu koji je uputio zahtjev.
18 U tim je uvjetima Nejvyšší správní soud (Visoki upravni sud) odlučio prekinuti postupak i postaviti Sudu sljedeće prethodno pitanje:
„Može li korištenje sustava nadzornih kamera ugrađenih na obiteljsku kuću u cilju zaštite imovine, zdravlja i života vlasnika kuće biti obuhvaćeno obradom osobnih podataka ,koju provodi fizička osoba tijekom aktivnosti isključivo osobne ili domaće naraviʼ u smislu članka 3. stavka 2. Direktive 95/46 […], čak i ako takav sustav nadzire i javni prostor?“
O prethodnom pitanju
19 Svojim pitanjem sud koji je uputio zahtjev u biti pita treba li članak 3. stavak 2. drugi podstavak Direktive 95/46 tumačiti u smislu da korištenje sustava nadzornih kamera, zahvaljujući kojem je snimljen videozapis pohranjen na uređaj za kontinuirano snimanje, odnosno tvrdi disk, koji je ugradila fizička osoba u cilju zaštite imovine, zdravlja i života vlasnika kuće, a koji nadzire i javni prostor, u smislu te odredbe predstavlja obradu podataka koja se provodi tijekom aktivnosti isključivo osobne ili domaće naravi.
20 Treba istaknuti da se, prema članku 3. stavku 1. te direktive, ona primjenjuje „na osobne podatke koji se u cijelosti ili djelomično obrađuju automatskim putem i na obradu podataka koja nije automatska, a koja čini dio sustava arhiviranja ili će činiti dio sustava arhiviranja“.
21 Pojam „osobni podaci“ koji je sadržan u toj odredbi obuhvaća, sukladno definiciji iz članka 2. točke (a) Direktive 95/46, „bilo koje podatke koji se odnose na utvrđenu fizičku osobu ili fizičku osobu koju se može utvrditi“. Osobom koju se može utvrditi smatra se „osobu čiji je identitet moguće utvrditi, izravno ili neizravno, a posebno navođenjem [...] jednog ili više činitelja značajnih za njegov fizički identitet“.
22 Stoga, slika osobe snimljene kamerom predstavlja osobni podatak u smislu odredbe navedene u prethodnoj točki u mjeri u kojoj ta slika omogućuje identificiranje dotične osobe.
23 Kada je riječ o pojmu „obrade osobnih podataka“, treba istaknuti da je on definiran u članku 2. točki (b) Direktive 95/46 kao „bilo koji postupak ili skup postupaka koji se provode nad osobnim podacima […] kao što je prikupljanje, snimanje, […] pohrana“.
24 Kao što osobito proizlazi iz uvodnih izjava 15. i 16. Direktive 95/46, videonadzor potpada, u načelu, u područje primjene te direktive u mjeri u kojoj on predstavlja automatiziranu obradu.
25 Međutim, nadzor koji se provodi snimanjem videozapisa osoba, kao u glavnom predmetu, pohranjenog na uređaj za trajno snimanje, odnosno tvrdi disk, predstavlja sukladno članku 3. stavku 1. Direktive 95/46 automatiziranu obradu osobnih podataka.
26 Sud koji je uputio zahtjev postavlja pitanje nije li takva obrada, u situaciji poput one na koju se odnosi glavni postupak, ipak izbjegavanje primjene te direktive, ako se provodi „tijekom aktivnosti isključivo osobne ili domaće naravi“ u smislu članka 3. stavka 2. drugog podstavka navedene direktive.
27 Kao što proizlazi iz članka 1. i uvodne izjave 10. Direktive 95/46, ona jamči visoku razinu zaštite temeljnih prava i sloboda fizičkih osoba, a posebno njihova prava na privatnost u vezi s obradom osobnih podataka (vidjeti presudu Google Spain i Google, C‑131/12, EU:C:2014:317, t. 66.).
28 U tom pogledu treba istaknuti da, sukladno ustaljenoj sudskoj praksi, zaštita temeljnog prava na privatni život zajamčena člankom 7. Povelje Europske unije o temeljnim pravima (u daljnjem tekstu: Povelja) zahtijeva da su odstupanja i ograničenja u zaštiti osobnih podataka u granicama onog što je strogo nužno (vidjeti presude IPI, C‑473/12, EU:C:2013:715, t. 39. kao i Digital Rights Ireland i dr., C‑293/12 i C‑594/12, EU:C:2014:238, t. 52.).
29 U mjeri u kojoj se odredbe Direktive 95/46, uređujući obradu osobnih podataka koji mogu povrijediti temeljne slobode i posebno pravo na privatnost, nužno moraju tumačiti u svjetlu temeljnih prava koja prema ustaljenoj sudskoj praksi čine sastavni dio općih načela prava čije poštovanje Sud osigurava i koja su upisana u Povelju (vidjeti presudu Google Spain i Google, EU:C:2014:317, t. 68.), odstupanje predviđeno člankom 3. stavkom 2. mora se tumačiti strogo.
30 To strogo tumačenje nalazi svoj temelj također u samom tekstu te odredbe kojom se iz njezinog dosega izuzima primjena Direktive 95/46 na obradu podataka koja se provodi tijekom aktivnosti ne samo osobne ili domaće naravi već „isključivo“ osobne ili domaće naravi.
31 U pogledu svih prethodnih razmatranja, treba zaključiti da, kao što to navodi i nezavisni odvjetnik u točki 53. svojeg mišljenja, obrada osobnih podataka potpada pod odstupanja navedena u članku 3. stavku 2. drugom podstavku Direktive 95/46 jedino ako se provodi u isključivo osobnoj ili domaćoj sferi onoga tko obavlja tu obradu.
32 Također, što se tiče fizičkih osoba, dopisivanje i vođenje evidencije adresata predstavljaju, u pogledu uvodne izjave 12. Direktive 95/46, „aktivnosti isključivo osobne ili domaće naravi“ čak i ako se, slučajno, tiču ili mogu ticati privatnog života drugih osoba.
33 U mjeri u kojoj videonadzor, poput onoga u glavnom predmetu, obuhvaća, iako djelomično, javni prostor, te je zbog te činjenice usmjeren prema eksterijeru privatne sfere onoga tko provodi obradu podataka tim sredstvom, ta se obrada ne može smatrati isključivo „osobnom ili domaćom“ aktivnošću u smislu članka 3. stavka 2. drugog podstavka Direktive 95/46.
34 Istodobno, primjena odredbi te direktive dopušta, ako je primjenjivo, uzimanje u obzir, u skladu s, posebno, člankom 7. točkom (f), člankom 11. stavkom 2. i člankom 13. stavkom 1. točkama (d) i (g), zakonitih interesa nadzornika, koji se osobito sastoje od, kao u glavnom predmetu, zaštite imovine, života i zdravlja nadzornika i njegove obitelji.
35 Slijedom navedenoga, na postavljeno pitanje potrebno je odgovoriti tako da članak 3. stavak 2. drugi podstavak Direktive 95/46 treba tumačiti u smislu da korištenje sustava nadzornih kamera, zahvaljujući kojem je snimljen videozapis pohranjen na uređaj za kontinuirano snimanje kao što je tvrdi disk, koji je fizička osoba ugradila u svoju obiteljsku kuću u cilju zaštite imovine, zdravlja i života vlasnika kuće te taj sustav nadzire i javni prostor, ne predstavlja obradu podataka koja se provodi za obavljanje isključivo osobnih ili domaćih aktivnosti u smislu te odredbe.
Troškovi
36 Budući da ovaj postupak ima značaj prethodnog pitanja za stranke glavnog postupka pred sudom koji je uputio zahtjev, na tom je sudu da odluči o troškovima postupka. Troškovi podnošenja očitovanja Sudu, koji nisu troškovi spomenutih stranaka, ne nadoknađuju se.
Slijedom navedenoga, Sud (četvrto vijeće) odlučuje:
Članak 3. stavak 2. drugi podstavak Direktive 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka treba tumačiti u smislu da korištenje sustava nadzornih kamera, zahvaljujući kojem je snimljen videozapis pohranjen na uređaj za kontinuirano snimanje kao što je tvrdi disk, koji je fizička osoba ugradila u svoju obiteljsku kuću u cilju zaštite imovine, zdravlja i života vlasnika kuće te taj sustav nadzire i javni prostor, ne predstavlja obradu podataka koja se provodi za obavljanje isključivo osobnih ili domaćih aktivnosti u smislu te odredbe.
Potpisi